secret マスキング - CI/CD用語集の定義
secret マスキングは、CI の log 内の既知の secret 値を自動的にアスタリスクに置き換え、露出しないようにします。
secret マスキングは、log 出力をスキャンして登録済みの secret 値を検出し、その代わりに *** を出力する runner の動作です。登録済みの secret は自動的にマスクされます。::add-mask:: を使えば任意の値を登録できます。
マスキングの限界
マスキングは既知の値の完全一致だけを捕捉します。変換された secret(base64 エンコード、JSON 埋め込み、複数行に分割されたもの)はすり抜ける可能性があるため、secret から派生したものを出力するのは避けてください。
関連ガイド
Log Scrubbing - CI/CD Glossary DefinitionLog Scrubbing: Log scrubbing is the practice of filtering CI log output to remove secrets, PII, or noise, whe…
Encrypted Secret - CI/CD Glossary DefinitionEncrypted Secret: An encrypted secret is a credential GitHub encrypts (using libsodium sealed boxes on upload…
Build Log - CI/CD Glossary DefinitionBuild Log: A build log is the recorded stdout and stderr of every step in a job. It is the primary evidence f…