Beveiliging
Kan het runnerplatform mijn geheimen zien?
Kort antwoord
Geheimen worden in het geheugen van de hardloper gedecodeerd zodat ze kunnen worden gebruikt, dus technisch gezien zou elk hardloperplatform dat kunnen.
Het detail dat ertoe doet
Daarom zijn isolatie en audit belangrijk. Geef de voorkeur aan OIDC boven opgeslagen geheimen, zodat er minder te onthullen valt.
Je volgende build kan twee keer zo snel zijn, voor de halve prijs
Begin gratis. Weggaan is dezelfde ene regel, en die diff publiceren we ook.
Gerelateerd
Zijn snapshotrunners veilig voor openbare repository's?Alleen als snapshots worden genomen van vertrouwde branches en nooit van fork-pull-verzoeken.Hoe genereer ik een SBOM?Schakel buildx's sbom: true output in, of voer syft uit tegen de gebouwde image.Hoe voeg ik de herkomst van het gebouw toe?Gebruik actions/attest-build-provenance, of de herkomst van buildx: true attestation.Hoe geef ik geheimen door aan een Docker-build?Gebruik BuildKit om geheimen te bouwen met --secret, nooit ARG of ENV.