Güvenlik

runnerhut'ta güvenlik (runnerhut)

Üçüncü bir tarafa, deponuza erişim sağlayarak kod yürütme yeteneği veriyorsunuz. Bu sayfa, bunu imzalaması gereken kişi için yazılmıştır.

izolasyon

Kendi çekirdeği olan tek iş, tek microVM; asla paylaşılan çekirdekte bir kapsayıcı değil
VM işin sonunda yok edilir; diskler kriptografik olarak silinir, yeniden kullanılmaz
Önbellek nesneleri şifrelenir ve depoya göre kapsam belirlenir
Çalışan iş VM'lerine operatör kabuğu erişimi yok

Uyumluluk

SOC 2 Tip 2, yıllık olarak denetlenir, rapor NDA kapsamında mevcuttur
Yıllık üçüncü taraf penetrasyon testi
Yayınlanmış alt işleyiciler ve 30 günlük değişiklik bildirimi ile GDPR DPA
Bilgi işlem, önbellek, günlükler ve ölçümler için AB ve ABD veri yerleşimi

Erişim ve kimlik

Kapsamlı kurulum belirteçleriyle bir GitHub App olarak entegre olur; asla kişisel erişim belirteci değildir
SCIM sağlama ile SAML ve OIDC SSO
SIEM dışa aktarımıyla yalnızca ekleme denetim günlüğü
Koşucu grubu başına varsayılan çıkış reddi politikası mevcuttur

Tehlikeli bir işin nelere ulaşabileceği ve ulaşamayacağı

Açıkça belirtmekte fayda var, çünkü bu aslında bir eleştirmenin sorduğu sorudur. Bir iş kendi mikroVM'sinde kendi çekirdeğiyle çalışır, bu nedenle ana bilgisayara kaçmak, kapsayıcı ad alanı yerine kesin sınırdır. Bir çıkış politikası onu kısıtlamadığı sürece ağa erişebilir; bu nedenle varsayılan çıkışı reddetme çoğu kontrolden daha önemlidir. Önbellek nesneleri her depo için şifrelendiğinden başka bir kiracının önbelleğini okuyamaz. Devam edemez çünkü VM ve diski işin sonunda yok edilir.

Artık riskin gerçekte bulunduğu yer

İş akışınız: aşırı izin verilen GITHUB_TOKEN, sabitlenmemiş üçüncü taraf eylemleri, PR kafasının kontrol edildiği pull_request_target
Bağımlılıklarınız: Güvenliği ihlal edilmiş bir kurulum sonrası komut dosyası, koşucunun sahip olduğu ağ erişimiyle çalışır
Sırlarınız: Bir işte şifresi çözülen her şey, bir bağımlılığın içe aktardığı kod da dahil olmak üzere o işte çalışan kod tarafından görülebilir

İkinci ve üçüncüyü çıkış politikası ve kısa ömürlü kimlik bilgileri ile sınırlayabiliriz. İlki sizindir ve GitHub Actions güvenlik kontrol listesi bunu beş değişiklikle kapsar.