CI 流水线密钥卫生工作流

概述

CI 中最常见的密钥风险是把凭据写进流水线文件、跨环境共享、或在日志中无意打印。把密钥迁移到平台密钥库、按需限定作用域、启用日志脱敏、定期轮换并审计可读范围，可让一次流水线被攻陷也不至于波及无关环境。

关键步骤

1. 把密钥从流水线文件迁入平台密钥库。
2. 仅向需要的环境与任务限定作用域。
3. 启用日志脱敏，避免回显密钥。
4. 定期轮换并审计访问。

验证

• 仓库中扫描不到密钥。
• 任务无法读取其他环境的密钥。
• 日志中不出现密钥取值。
• 轮换与访问审计有记录。

决策点

应按环境分离密钥，避免开发任务触达生产密钥；优先使用短期 OIDC 联邦而非长期静态密钥。

适用范围

本条目围绕「CI 流水线密钥卫生工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。

permissions:
  id-token: write   # OIDC
  contents: read
# then assume a role with a short-lived token instead of a static key