9 ноября GitHub открыл предварительный доступ к поиску секретов в логах GitHub Actions. Если подходящий секрет обнаружен после завершения запуска, предупреждение появится в списке Secret Scanning репозитория со ссылкой на лог. На Mentoring.digital разбираем, кому доступна проверка и что стоит включить в процесс реагирования.
Для каких репозиториев действует проверка
Preview доступен клиентам GitHub Enterprise Cloud с GitHub Secret Protection или GitHub Advanced Security. Политика выключена по умолчанию. Её включает владелец предприятия. После этого она применяется к репозиториям, где включён Secret Scanning под подходящей лицензией.
GitHub проверяет завершившиеся после включения запуски по поддерживаемым шаблонам поставщиков. Предупреждение остаётся в списке даже после удаления лога. Во время preview такие предупреждения доступны в интерфейсе Secret Scanning, поэтому список нужно проверять отдельно.
Что делать с найденным секретом
Уточните, какому сервису принадлежит ключ и кто может отозвать его. Выпустите замену по процедуре вашей команды и проверьте, на каком шаге workflow значение попало в вывод. После исправления выполните обычный тестовый запуск и посмотрите, остался ли лишний вывод. Используйте тестовые данные для проверок.
Для прежних запусков сохраняется отдельный порядок проверки. Если в команде нужно определить ответственных и добавить проверку журналов в процесс CI, это можно обсудить с ментором по настройке процессов DevOps.
