Каким образом вы шифруете переменные в CI?

Шифрую переменные, используя встроенные возможности CI-системы. У каждой CI-системы, будь то GitLab CI/CD, GitHub Actions или Jenkins, есть функции для безопасного хранения секретов. Эти переменные доступны только на определенных этапах конвейера сборки и не отображаются в логах.

Например, в GitLab CI:

• Переменные окружения: На уровне группы или проекта можно сохранить переменные. Они помечаются как "защищенные" и "маскированные". "Защищенные" используются только в защищенных ветках и тегах, "маскированные" скрывают значение в логах, если оно полностью совпадает.

  # .gitlab-ci.yml
  # Доступ к переменной через окружение
  script:
    - echo $MY_SECRET_VARIABLE
  

• HashiCorp Vault: Интеграция с внешним хранилищем секретов, таким как HashiCorp Vault. GitLab CI может аутентифицироваться в Vault и получать секреты во время выполнения конвейера.

  # .gitlab-ci.yml
  variables:
    VAULT_SERVER: "https://vault.example.com"
    VAULT_AUTH_ROLE: "gitlab-ci"
    VAULT_AUTH_PATH: "auth/kubernetes"
    VAULT_SECRETS: |
      MY_SECRET_KEY: vault/path/to/secret:key
  script:
    - echo $MY_SECRET_KEY # Переменная автоматически подгружена из Vault
  

В GitHub Actions:

• Secrets: На уровне репозитория или организации можно хранить секреты. Доступны в рабочих процессах через ${{ secrets.MY_SECRET }}. Значения не отображаются в логах и не могут быть получены через API после сохранения.

  # .github/workflows/main.yml
  jobs:
    build:
      runs-on: ubuntu-latest
      steps:
      - name: Use secret
        run: echo ${{ secrets.MY_SECRET }}
  

В Jenkins:

• Credentials Plugin: Позволяет хранить различные типы учетных данных (логин/пароль, секретный текст, SSH-ключ) в зашифрованном виде. К ним можно получить доступ в Jenkinsfile или через графический интерфейс.

  // Jenkinsfile (Declarative Pipeline)
  pipeline {
      agent any
      stages {
          Внутри рабочего процесса сборки, где переменные используются, они обычно доступны как переменные окружения.
          stage('Use Secret') {
              steps {
                  withCredentials([string(credentialsId: 'my-secret-id', variable: 'MY_VAR')]) {
                      sh 'echo $MY_VAR'
                  }
              }
          }
      }
  }
  

Общие принципы:

• Минимизация области видимости: Секреты доступны только на тех этапах и в тех окружениях, где они необходимы.
• Маскирование логов: Значения секретов скрываются в логах выполнения конвейера.
• Разделение ролей: Только авторизованные пользователи или системы могут добавлять/изменять секреты.
• Использование внешних хранилищ: Для более сложных сценариев и централизованного управления секретами используются Vault или аналогичные решения.