Peta dunia

 

EN

Dunia T4: Modul & Pipeline

Rahsia dan OIDC

Anda akan belajar: cara pipeline dapat akses cloud dan kata laluan tanpa simpan kunci dalam fail.

Teks BM belum disemak oleh penutur asli.

Disemak dengan OpenTofu 1.13 pada 1 Nov 2026

Masalahnya

Ben salin workflow plan ini dari sebuah blog. Cari tiga lubangnya.

Tekan setiap baris yang berisiko. Setiap satu tunjuk serangan dan pembetulannya.

Fail workflow .github/workflows/plan.yml

Tengok

OIDC (OpenID Connect): Runner tunjuk pas pelawat untuk satu job. Cloud semak pas itu dan pinjamkan kunci yang luput bila job tamat. macam pas pelawat. Job buktikan siapa dirinya, dan cloud pinjamkan kunci yang cepat luput. Susun langkahnya.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Cloud semak: repo dan branch yang betul?
  • Ia tunjuk token itu kepada cloud
  • tofu plan berjalan dengan kunci itu
  • Job minta token ID jangka pendek dari GitHub
  • Cloud pinjamkan kunci yang cepat luput

Teka

Kebenaran mana yang benarkan job minta token ID itu dari GitHub?

permissions:
  id-token: write
  contents: read

Cuba

Kata laluan pangkalan data tak boleh duduk dalam fail. Beri melalui pemboleh ubah persekitaran: export TF_VAR_db_password=teh-tarik-42. Kemudian tofu apply.

Pelan (fail .tf anda)init sudah siap

  • local_sensitive_file.db_confbelum dibina

Sudah dibina (fail state)

Belum ada apa-apa yang dibina.

Pelan: 1 resource. Sudah dibina: 0.

Ubah fail, kemudian jalankan tofu plan untuk lihat kesannya.

Semak

Susun setiap cara bawa rahsia ke dalam pipeline.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Semak

      Pasukan sudah tukar ke OIDC. Apa yang repo simpan untuk cloud sekarang?

      Anda berjaya!

      Kini anda boleh beri pipeline akses cloud dan rahsia tanpa simpan kunci.

      Nak tahu lebih (pilihan)

      Peraturan percaya di cloud patut namakan repo dan branch anda. Jadi repo lain tak boleh pinjam pas itu. Letak job apply dalam GitHub environment dengan penyemak wajib. Kursus CI/CD pergi lebih dalam: Dunia C3: OIDC. Ingat: daftar masih boleh simpan rahsia (T3·7).