Выбор ответа Senior Секреты и управление ключами обновлено
Доступ CI к облаку без статических ключей
Вопрос
Как дать пайплайну CI доступ к облаку без хранения долгоживущих ключей?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: OIDC-федерация: облако меняет токен CI на временные права с условием на репозиторий. OIDC-федерация (GitHub Actions, GitLab CI с облаками) выдаёт короткоживущие учётные данные, а политика доверия ограничивает, какой репозиторий и ветка могут их получить.
Варианты ответа
- OIDC-федерация: облако меняет токен CI на временные права с условием на репозиторийправильный ответ
- Хранить ключ в защищённой переменной пайплайна и менять его раз в год вручную
- Закоммитить ключ в зашифрованном архиве, а пароль от архива держать в настройках CI
- Дать CI ключ администратора в секретах репозитория, чтобы не настраивать права
Разбор
OIDC-федерация (GitHub Actions, GitLab CI с облаками) выдаёт короткоживущие учётные данные, а политика доверия ограничивает, какой репозиторий и ветка могут их получить. Статический ключ в переменных живёт долго и утекает. Зашифрованный архив требует ключа расшифровки там же. Права администратора противоречат минимальным привилегиям.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.