Jak chronić sekrety i ograniczać prawa aplikacji oraz procesu wdrożenia?

Każdy program powinien otrzymać tylko dostęp potrzebny do swojej pracy. Odbiorca kolejki nie musi mieć prawa do wszystkich danych firmy. Kluczy i haseł nie zapisuję w repo ani nie wklejam do rozmowy z agentem. Sam fakt użycia zmiennej środowiskowej nie rozwiązuje wszystkich sposobów wycieku.

W procesie CI/CD, czyli automatycznym sprawdzaniu i wdrażaniu, można używać krótkotrwałej tożsamości zamiast stałego klucza. Trzeba ograniczyć, które repo i uruchomienia mogą ją otrzymać. Niezaufany kod z PR nie powinien dostać sekretów produkcji. Wygenerowany test też jest kodem i może coś odczytać lub wysłać.