Least Privilege - Definição do Glossário de CI/CD

O menor privilégio (least privilege) é o princípio de que uma identidade (usuário, serviço ou job de CI) deve ter apenas as permissões necessárias para realizar sua tarefa, e nada além disso. Restringir o escopo reduz o raio de impacto caso a identidade seja comprometida.

No GitHub Actions

O GITHUB_TOKEN padrão pode ser restringido por workflow com permissions:. Definir permissions: read-all ou conceder apenas contents: read mais os escopos específicos que um job precisa limita o que um step comprometido pode fazer.

Exemplo

.github/workflows/ci.yml

permissions:
  contents: read
  id-token: write   # only if the job federates via OIDC

Guias relacionados

OIDC Federation - CI/CD Glossary DefinitionOIDC Federation: OIDC federation lets a CI workflow exchange a short-lived OpenID Connect token for cloud cre… Runner Group - CI/CD Glossary DefinitionRunner Group: A runner group is a GitHub feature that organizes self-hosted runners and controls which reposi… Audit Log - CI/CD Glossary DefinitionAudit Log: An audit log is an append-only record of security-relevant events: who did what, when, and from wh…