CI/CD hardening

Минимизиране на privileges, secrets и untrusted execution в build/deploy pipeline.

Pipeline identities са short-lived, runners са isolated, pull requests от untrusted sources не получават production secrets.

External pull request стартира workflow, който има достъп до production cloud key. Attacker не трябва да „хаква cloud-а“; достатъчно е да накара вашия pipeline да му даде ключа.

• untrusted code не получава production secrets;
• runners са ephemeral;
• deployment identity е short-lived;
• production environment има approval;
• signing е отделено от build.

Threat-model-нете pipeline като production system. Кой може да променя workflow files? Кой може да approve-ва environment? Какво може runner-ът да прочете? Колко дълго живеят credentials?

• Branch protection.
• Mandatory review.
• OIDC workload identity instead of static cloud keys.
• Ephemeral runners.
• Separate build and signing.
• Protected environments.

Compromised maintainer с legitimate merge rights остава сериозен риск.