Le migliori pratiche per le azioni del flusso di lavoro in Amazon CodeCatalyst

Esistono diverse best practice di sicurezza da prendere in considerazione durante lo sviluppo dei flussi di lavoro. CodeCatalyst Le seguenti sono linee guida generali e non rappresentano una soluzione di sicurezza completa. Poiché queste best practice potrebbero non essere appropriate o sufficienti per l'ambiente, gestiscile come considerazioni utili anziché prescrizioni.

Informazioni sensibili

Non incorporare informazioni sensibili nel tuo YAML. Invece di incorporare credenziali, chiavi o token nel tuo YAML, ti consigliamo di utilizzare dei segreti. CodeCatalyst I segreti offrono un modo semplice per archiviare e fare riferimento a informazioni sensibili all'interno del tuo YAML.

Termini di licenza

Assicurati di prestare attenzione ai termini di licenza dell'azione che scegli di utilizzare.

Codice non affidabile

Le azioni sono generalmente moduli autonomi e monouso che possono essere condivisi all'interno di un progetto, di uno spazio o di una comunità più ampia. L'utilizzo di codice altrui può essere un grande vantaggio in termini di praticità ed efficienza, ma introduce anche un nuovo vettore di minacce. Consulta le seguenti sezioni per assicurarti di seguire le migliori pratiche per proteggere i flussi di lavoro CI/CD.

GitHub Azioni

GitHub Le azioni sono open source, create e gestite dalla comunità. Seguiamo il modello di responsabilità condivisa e consideriamo il codice sorgente di GitHub Actions come dati dei clienti di cui sei responsabile. GitHub Actions può avere accesso ai segreti, ai token del repository, al codice sorgente, ai link degli account e al tempo di elaborazione. Assicurati di avere fiducia nell'affidabilità e nella sicurezza delle GitHub azioni che intendi eseguire.

Linee guida più specifiche e migliori pratiche di sicurezza per GitHub Actions: