Wie gewährleistet GitHub Actions die Sicherheit und erhält Zugriff auf versteckte geheime Daten wie Schlüssel und Tokens?

GitHub Actions gewährleistet die Sicherheit sensibler Daten durch den "Secrets"-Mechanismus — spezielle Umgebungsvariablen, die verschlüsselt gespeichert werden und nur während der Ausführung des Workflows zugänglich sind. Der Zugriff darauf ist eingeschränkt: Sie werden nicht in den Logs angezeigt und ihr Wert kann nicht direkt aus dem Code abgerufen werden.

Beim Starten des Workflows werden die Secrets automatisch in die Umgebung eingefügt, und Aktionen (actions) können sie verwenden, z.B. für Authentifizierung oder API-Zugriff. Um Lecks zu verhindern, verbietet GitHub die Ausgabe von Secrets in den Logs und beschränkt den Zugriff nur auf vertrauenswürdige Workflows und Branches.

Beispiel für die Verwendung eines Secrets in einem Workflow:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Use secret
        run: echo "${{ secrets.MY_SECRET }}"

Hier ist MY_SECRET ein in den Repository-Einstellungen konfiguriertes Geheimnis.