Bezpieczeństwo
Ochrona w runnerhut
Oddajesz osobie trzeciej możliwość wykonania kodu z dostępem do Twojego repozytorium. Ta strona jest napisana dla osoby, która musi się pod tym podpisać.
Izolacja
- Jedno zadanie, jedna mikroVM z własnym jądrem — nigdy kontener na współdzielonym jądrze
- Maszyna wirtualna zostaje zniszczona po zakończeniu zadania; dyski są czyszczone kryptograficznie, a nie ponownie wykorzystywane
- Obiekty pamięci podręcznej są szyfrowane i mają zakres określony dla repozytorium
- Brak dostępu powłoki operatora do uruchomionych maszyn wirtualnych zadań
Zgodność
- SOC 2 Typ 2, audytowany corocznie, raport dostępny w ramach NDA
- Coroczny test penetracyjny przeprowadzany przez stronę trzecią
- RODO DPA z opublikowanymi podwykonawcami przetwarzania i 30-dniowym wyprzedzeniem o zmianie
- Miejsce przechowywania danych w UE i USA na potrzeby obliczeń, pamięci podręcznej, dzienników i metryk
Dostęp i tożsamość
- Integruje się jako GitHub App z tokenami instalacyjnymi o określonym zakresie — nigdy osobistym tokenem dostępu
- SAML i OIDC SSO z obsługą SCIM
- Dziennik audytu z możliwością dołączenia z eksportem SIEM
- Domyślna zasada odmowy wyjścia dostępna dla każdej grupy biegaczy
Co kompromitująca praca mogła, a czego nie mogła osiągnąć
Gdzie faktycznie leży ryzyko szczątkowe
- Twój przepływ pracy: przekroczone uprawnienia GITHUB_TOKEN, nieprzypięte działania stron trzecich, pull_request_target z kasą szefa PR
- Twoje zależności: skompromitowany skrypt poinstalacyjny działa z dowolnym dostępem do sieci, jaki posiada biegacz
- Twoje sekrety: wszystko, co zostało odszyfrowane w zadaniu, jest widoczne dla kodu uruchomionego w tym zadaniu, łącznie z kodem pobranym z zależności