Jak zarządzać sekretami w CI/CD i produkcji?

Głębiej

Sekrety powinny być krótkotrwałe, ograniczone i audytowalne:

• Secrets manager i pobieranie w runtime (nie w buildzie).
• OIDC workload identity w CI do krótkich poświadczeń.
• Rotacja kluczy, revokacja po incydencie, skanowanie wycieków.
• Zapobieganie trafianiu sekretów do logów lub bundli frontu.

Przykłady

CI używa OIDC do uzyskania tymczasowych poświadczeń:

GitHub Actions -> OIDC token -> Cloud STS -> tymczasowe credsy

Typowe pułapki

• Sekrety w obrazach Docker lub bundle frontu.
• Długotrwałe klucze współdzielone między usługami.
• Przypadkowe logowanie sekretów (debug/error).

Pytania uzupełniające na rozmowie

• Jak rotujesz sekrety bez downtime?
• Jak ograniczasz secret sprawl?
• Co robisz po wykryciu wycieku?