管线密钥注入工作流

目标

管线凭据不应出现在代码、日志或作业参数里。本工作流把凭据迁入密钥管理器并设置访问策略，按最小权限授予管线身份只读取所需密钥，在使用前即时获取并确保日志脱敏，最后按计划轮换并审计访问记录。

步骤要点

1. 把凭据迁入密钥管理器并设置访问策略。
2. 按最小权限授予作业身份只读所需密钥。
3. 运行时即时获取并确保日志脱敏。
4. 按计划轮换并审计访问。

# fetch a secret at runtime, never in job parameters
sops exec-env secrets.enc.yaml 'python job.py'

验证

按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。

排错提示

• 参数中的密钥会经作业历史泄露。
• 身份过宽会扩大暴露面。
• 缺少脱敏会把密钥写进日志。

适用边界

• 需要密钥管理器与工作负载身份。
• 应按作业隔离身份。