Sirlar va muhitlar

Quvur serverga ulanishi, registry'ga obraz yuborishi yoki API ga so'rov qilishi kerak - hammasi uchun parol yoki kalit talab qilinadi. Ularni repozitoriyga yozib qo'yish mumkin emas.

Sir va oddiy o'zgaruvchi #

GitHub ikki xil saqlash joyini beradi:

Settings -> Secrets and variables -> Actions bo'limida qo'shiladi.

      - name: Serverga ulanish
        env:
          TOKEN: ${{ secrets.DEPLOY_TOKEN }}
          DOMEN: ${{ vars.DOMEN }}
        run: |
          echo "Domen: $DOMEN"
          curl -sS -H "Authorization: Bearer $TOKEN" "https://$DOMEN/api/holat"

Domen: edu.softromeda.com

Token jurnalda umuman ko'rinmaydi - u ishlatilgan, lekin chop etilmagan.

Sir jurnalda qanday yashiriladi #

GitHub sir qiymatini chiqishdan qidirib, uni *** bilan almashtiradi:

      - run: echo "Token - ${{ secrets.DEPLOY_TOKEN }}"

Token - ***

Sirlarning uch darajasi #

Muhitlar #

Muhit (environment) - deploy manzili uchun alohida sozlama to'plami: sinov, ishlab-chiqarish kabi.

jobs:
  deploy:
    runs-on: ubuntu-latest
    environment:
      name: ishlab-chiqarish
      url: https://edu.softromeda.com
    steps:
      - name: Serverga chiqarish
        env:
          KALIT: ${{ secrets.SSH_KALIT }}
        run: echo "Deploy boshlandi"

Muhit uchta foydali imkoniyat beradi:

Settings -> Environments bo'limida sozlanadi. Tasdiq yoqilgan bo'lsa, job "Waiting" holatida turadi va tanlangan shaxslarga xabar boradi.

PR va sirlar - muhim cheklov #

Boshqa odamning forkidan kelgan PR uchun GitHub sirlarni bermaydi:

Error: Input required and not supplied: token

Bu xato emas, himoya. Aks holda begona odam PR ochib, unda sirlaringizni chop etadigan workflow yozishi mumkin edi.

on: pull_request_target
jobs:
  test:
    steps:
      - uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.head.sha }}   # XAVFLI
      - run: npm ci && npm test                            # begona kod, sirlar bilan

GITHUB_TOKEN - tayyor sir #

Har bir ishga tushirishda avtomatik yaratiladigan token bor - uni qo'shish shart emas:

      - name: PR ga izoh yozish
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: gh pr comment ${{ github.event.number }} --body "Quvur yashil"

U ishga tushirish tugashi bilan bekor qilinadi, ya'ni o'g'irlansa ham uzoq yashamaydi. Huquqlarini har bir workflow uchun cheklash mumkin:

permissions:
  contents: read
  pull-requests: write

Bu haqda 19-bo'limda batafsil gaplashamiz.

Parolsiz ulanish - OIDC #

Bulut xizmatlariga (AWS, Azure, Google Cloud) ulanish uchun uzoq yashaydigan kalitni saqlash shart emas. OIDC orqali GitHub har bir ishga tushirish uchun vaqtinchalik kalit oladi:

permissions:
  id-token: write
  contents: read

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: AWS ga ulanish
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/GitHubActions
          aws-region: eu-central-1

Bulutda ishlayotgan bo'lsangiz, OIDC - eng katta xavfsizlik yutug'i.

Sirlarni boshqarish qoidalari #

Xulosa #

• Secrets yashirin qiymatlar uchun, variables ochiq sozlamalar uchun.
• Sir jurnalda *** bilan yashiriladi, lekin bu himoya emas - o'zgartirilgan sir ko'rinib qoladi.
• Sirlar uch darajada saqlanadi: tashkilot, repozitoriy, muhit; eng aniq darajadagisi ustun.
• Muhit o'z sirlari, majburiy tasdig'i va tarmoq cheklovini beradi.
• Ishlab chiqarishga majburiy tasdiq qo'yish - eng arzon va eng foydali himoya.
• Fork'dan kelgan PR ga sirlar berilmaydi - bu ataylab qilingan.
• pull_request_target fork kodi bilan birga ishlatilsa, sirlarni ochib qo'yadi.
• GITHUB_TOKEN har ishga tushirishda avtomatik yaratiladi va oxirida bekor qilinadi.
• OIDC bulut xizmatlariga uzoq yashaydigan kalitsiz ulanish imkonini beradi.
• Sizgan sirni o'chirish yetarli emas - uni almashtirish kerak.

Keyingi bo'limda Docker obrazini qurib, uni registry'ga yuborishni o'rganamiz.