Ako GitHub Actions zabezpečuje bezpečnosť a získava prístup k skrytým tajným údajom, ako sú kľúče a tokeny?

GitHub Actions zabezpečuje bezpečnosť tajných údajov prostredníctvom mechanizmu "Secrets" — špeciálnych premenných prostredia, ktoré sú uložené šifrovane a sú dostupné iba počas spustenia workflow. Prístup k nim je obmedzený: nezobrazujú sa v logoch a ich hodnotu nie je možné získať priamo z kódu.

Pri spustení workflow sa tajné údaje automaticky vkladajú do prostredia a akcie (actions) ich môžu použiť, napríklad na autentifikáciu alebo prístup k API. Aby sa predišlo únikom, GitHub zakazuje zobrazovať tajné údaje v logoch a obmedzuje prístup iba na dôveryhodné workflow a vetvy.

Príklad použitia tajného údaja v workflow:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Use secret
        run: echo "${{ secrets.MY_SECRET }}"

Tu je MY_SECRET tajný kľúč nakonfigurovaný v nastaveniach repozitára.