Come gestisci i dati sensibili in GitLab CI? Come avviene il loro trasferimento?

Gestisco dati sensibili in GitLab CI principalmente tramite variabili di ambiente predefinite, variabili CI/CD e segreti di Kubernetes.

La trasmissione avviene nel seguente modo:

• Variabili predefinite: Sono fornite automaticamente dal GitLab Runner durante l'esecuzione del pipeline. Includono ID del progetto, nome del branch, stato della build, ecc. Alcune possono essere sensibili (ad esempio, token di servizio, se configurati). L'accesso è limitato al contesto di esecuzione del task.
• Variabili CI/CD: Sono definite nelle impostazioni del progetto o del gruppo GitLab e possono essere contrassegnate come "Protette" (disponibili solo in branch e tag protetti) e "Mascherate" (nascoste nei log). Possono contenere password, chiavi API, ecc. Sono trasmesse al runner in forma crittografata.
• Gruppi di variabili CI/CD: Permettono di gestire centralmente variabili per più progetti in un gruppo. Utile per segreti condivisi. Funzionano in modo analogo alle variabili di progetto in termini di trasmissione e protezione.
• Segreti di Kubernetes: Se il progetto viene distribuito in un cluster Kubernetes, i dati sensibili possono essere archiviati in K8s Secrets. GitLab CI può essere configurato per accedere a questi segreti tramite la specifica del job in .gitlab-ci.yml.

variables:
  MY_SECRET_VAR: $MY_SECRET_VARIABLE_FROM_SETTINGS # Variabile dalle impostazioni del progetto

# Esempio di utilizzo delle variabili in uno script
script:
  - echo $MY_SECRET_VAR # La variabile viene passata nell'ambiente del contenitore

test_job:
  image: ubuntu:latest
  variables:
    MY_PROTECTED_VAR: "questo è un segreto protetto"
  rules:
    - if: '$CI_COMMIT_BRANCH == "master"' # Esempio di regola per variabile protetta
  script:
    - echo "Esecuzione sul branch: $CI_COMMIT_BRANCH"
    - echo "La mia variabile protetta: $MY_PROTECTED_VAR" # Variabile disponibile

La trasmissione di tutti questi tipi di variabili avviene in forma crittografata dal GitLab Runner all'ambiente di esecuzione (contenitore o macchina virtuale). All'interno dell'ambiente di esecuzione, sono disponibili come variabili di ambiente. È importante minimizzare la loro uscita nei log e utilizzare il mascheramento. È inoltre consigliabile effettuare regolarmente audit sugli accessi a queste variabili e segreti.