حماية أسرار CI/CD من الكود الذي يبنيه مسار النشر
افصل اختبارات الكود غير الموثوق من الإصدار ذي الصلاحيات، وقيّد الرموز وراجع الإجراءات الخارجية كاعتماديات تنفيذية.
الخلاصة
تنفذ منظومة البناء كود المستودع وحزمه. إعطاء كل بناء أسرار الإنتاج يجعل اختراق كود أو حزمة وصولًا يتجاوز مهمة البناء.
افصل فحوص طلبات الدمج عن سير العمل المراجع الذي يستطيع النشر.
ضع حد الثقة حول المدخلات
افحص من يعدّل الكود وسير العمل وملفات البناء المستخدمة في المهمة الحساسة. لا تنفذ محتوى طلب دمج غير موثوق داخل حدث ذي أسرار لمجرد الوصول إليها. مخرجات مهمة أخرى تحتاج أصلًا موثوقًا، لا تصبح آمنة تلقائيًا.
قلل الاعتمادات المتاحة
حدد صلاحيات الرموز صراحةً واستخدم تفويضًا قصير العمر مدعومًا حيث يناسب. احصر الأسرار في بيئتها. اختبار يقرأ المصدر لا يحتاج نشر حزم أو إدارة سحابة.
راجع واستجب
ثبت الإجراءات الخارجية على مراجعات ثابتة تم التحقق منها حيث يناسب وحدّثها بوعي. احمِ ملفات سير العمل وفروع النشر. إذا تسرب اعتماد، ألغِه لدى المصدر وافحص التشغيلات؛ حذف السجل أو إعادة البناء لا يبطل القيمة.
قبل أن تتخذ أي خطوة
إخفاء السر من السجل ليس حدًا كاملًا؛ الكود الذي يستطيع قراءته قد يستخدمه. افهم الأحداث والفروع والصلاحيات في منصتك.
ما الذي يمكنك فعله الآن؟
- احصر سير العمل والأحداث والرموز التي تصل للإنتاج.
- امنح الاختبارات صلاحيات محدودة ودون أسرار غير لازمة.
- احمِ تغييرات الإصدار وراجع الإجراءات وفعّل الموافقة المناسبة للبيئات الحساسة.
