Uso de secretos de AWS Secrets Manager en los trabajos de GitHub

Para usar un secreto en un trabajo de GitHub, puede usar una acción de GitHub para recuperar secretos de AWS Secrets Manager y agregarlos como variables de entorno enmascaradas en el flujo de trabajo de GitHub. Para obtener más información sobre GitHub Actions, consulte Understanding GitHub Actions (Información general sobre Github Actions) en GitHub Docs.

Cuando agrega un secreto al entorno de GitHub, está disponible para todos los demás pasos del trabajo de GitHub. Siga las instrucciones de Security hardening for GitHub Actions (Fortalecimiento de seguridad de GitHub Actions) para evitar que los secretos del entorno se utilicen de forma indebida.

Puede establecer la cadena completa del valor del secreto como el valor de la variable de entorno o, si la cadena es JSON, puede analizar el elemento JSON para establecer variables de entorno individuales para cada par clave-valor de JSON. Si el valor del secreto es binario, la acción lo convierte en una cadena.

Para ver las variables de entorno creadas a partir de sus secretos, active el registro de depuración. Para obtener más información, consulte Enabling debug logging (Habilitación del registro de depuración) en GitHub Docs.

Para usar las variables de entorno creadas a partir de los secretos, consulte Variables de entorno en Documentación de GitHub.

Requisitos previos

Para usar esta acción, primero debe configurar las credenciales de AWS y establecer la Región de AWS en el entorno de GitHub mediante el paso configure-aws-credentials. Siga las instrucciones de Configurar las acciones de credenciales de AWS para acciones de GitHub para Asumir el rol directamente con el proveedor OIDC de GitHub. Esto permite utilizar credenciales de corta duración y evitar almacenar claves de acceso adicionales fuera de Secrets Manager.

El rol de IAM que asume la acción debe tener los siguientes permisos:

Para obtener más información, consulte Autenticación y control de acceso de AWS Secrets Manager.

Uso

Para utilizar la acción, agregue un paso al flujo de trabajo que emplea la siguiente sintaxis.

- name: Step name
  uses: aws-actions/aws-secretsmanager-get-secrets@v2
  with:
    secret-ids: |
      secretId1
      ENV_VAR_NAME, secretId2
    name-transformation: (Optional) uppercase|lowercase|none
    parse-json-secrets: (Optional) true|false

Nombre de variable de entorno

Las variables de entorno creadas por la acción reciben el mismo nombre que los secretos de los que provienen. Las variables de entorno tienen requisitos de nomenclatura más estrictos que los secretos, por lo que la acción transforma los nombres de los secretos para cumplir esos requisitos. Por ejemplo, la acción transforma las letras minúsculas en mayúsculas. Si analiza el JSON del secreto, el nombre de la variable de entorno incluye tanto el nombre del secreto como el nombre de la clave JSON, por ejemplo MYSECRET_KEYNAME. Puede configurar la acción para que no transforme letras minúsculas.

Si dos variables de entorno terminan con el mismo nombre, la acción fallará. En este caso, debe especificar los nombres que quiere usar para las variables de entorno como alias.

Ejemplos de casos en los que los nombres pueden entrar en conflicto:

Puede establecer el nombre de la variable de entorno especificando un alias, como se muestra en el siguiente ejemplo, que crea una variable denominada ENV_VAR_NAME.

secret-ids: |
  ENV_VAR_NAME, secretId2

El siguiente ejemplo muestra un alias en blanco.

,secret2

Ejemplos

- name: Get secrets by name and by ARN
  uses: aws-actions/aws-secretsmanager-get-secrets@v2
  with:
    secret-ids: |
      exampleSecretName
      arn:aws:secretsmanager:us-east-2:123456789012:secret:test1-a1b2c3
      0/test/secret
      /prod/example/secret
      SECRET_ALIAS_1,test/secret
      SECRET_ALIAS_2,arn:aws:secretsmanager:us-east-2:123456789012:secret:test2-a1b2c3
      ,secret2

EXAMPLESECRETNAME: secretValue1
TEST1: secretValue2
_0_TEST_SECRET: secretValue3
_PROD_EXAMPLE_SECRET: secretValue4
SECRET_ALIAS_1: secretValue5
SECRET_ALIAS_2: secretValue6
SECRET2: secretValue7

- name: Get Secret Names by Prefix
  uses: 2
  with:
    secret-ids: |
      beta*    # Retrieves all secrets that start with 'beta'

BETASECRETNAME: secretValue1
BETATEST: secretValue2
BETA_NEWSECRET: secretValue3

- name: Get Secrets by Name and by ARN
  uses: aws-actions/aws-secretsmanager-get-secrets@v2
  with:
    secret-ids: |
      test/secret
      ,secret2
    parse-json-secrets: true

{
  "api_user": "user",
  "api_key": "key",
  "config": {
    "active": "true"
  }
}

{
  "myusername": "alejandro_rosalez",
  "mypassword": "EXAMPLE_PASSWORD"
}

TEST_SECRET_API_USER: "user"
TEST_SECRET_API_KEY: "key"
TEST_SECRET_CONFIG_ACTIVE: "true"
MYUSERNAME: "alejandro_rosalez"
MYPASSWORD: "EXAMPLE_PASSWORD"

- name: Get secrets
  uses: aws-actions/aws-secretsmanager-get-secrets@v2
  with:
    secret-ids: exampleSecretName
    name-transformation: lowercase

examplesecretname: secretValue