Выбор ответа Senior CI/CD обновлено
Деплой в облако без вечных ключей
Вопрос
Пайплайн GitHub Actions деплоит в облако с ключом доступа, который лежит в секретах репозитория годами. Как сделать безопаснее?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: OIDC: облако по токену Actions выдаёт короткоживущие права. С OIDC в репозитории нет долгоживущих секретов: каждый прогон получает от GitHub подписанный токен, облако проверяет, из какого репозитория, ветки или окружения он пришёл, и выдаёт временные права.
Варианты ответа
- Перенести ключ из секретов прямо в YAML-файл workflow
- OIDC: облако по токену Actions выдаёт короткоживущие праваправильный ответ
- Менять ключ раз в год вручную и хранить его в секретах окружения
- Закодировать ключ в base64 перед сохранением в секреты
Разбор
С OIDC в репозитории нет долгоживущих секретов: каждый прогон получает от GitHub подписанный токен, облако проверяет, из какого репозитория, ветки или окружения он пришёл, и выдаёт временные права. Украденный токен быстро протухает.
- Ключ в YAML виден всем, у кого есть доступ к коду.
- Ручная ротация раз в год оставляет ключ опасным почти всё время.
- base64 это кодирование, а не шифрование.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.