Pipeline Secret Scope とは何か
pipeline secret scope は、CI/CD システム内で secret がどこで読めるかを制御する境界です。それは、認証情報を pipeline のすべてのステップに露出させるのではなく、特定の job、branch、または deployment 環境に限定します。scoping は、build 時の secret に対して最小権限の原則に従います。
なぜ重要か
すべての job から利用できる secret は、1 つの侵害されたステップが持ち出せる secret です。厳格な scoping は、いずれか 1 つの job が悪用された場合の blast radius を縮小します。
関連ガイド
What Is an Environment-Scoped Secret?An environment-scoped secret is a credential bound to one deployment environment, so a job can read it only w…
What Is Secret Inheritance?Secret inheritance is how a called workflow receives secrets from its caller, controlling whether downstream…
What Is an Organization Secret?An organization secret is a credential defined once at the org level and shared across many repositories, avo…