CircleCI 2.0 private Umgebung Schlüssel für öffentliche Repos

Question

Ich habe ein Repo, das ist derzeit privat. Mein Firebase-Bereitstellungstoken wird als Env Var in der CircleCI-GUI gespeichert. Die CircleCI 2.0 Dokumentation eindeutig

Fügen Sie keinen Schlüssel oder Geheimnisse zu einem öffentlichen CircleCI Projekt

Auch von dem, was ich in der FAQ finden kann, wird ein CircleCI Projekt öffentlich gemacht, wenn die zugehörige GitHub Repo wird veröffentlicht.

Jetzt habe ich vor, das Projekt auf GitHub zu öffnen, wird es den Env Var in CircleCl für jedermann sichtbar machen, da das CircleCI-Projekt öffentlich werden wird?

Wenn der Env Var öffentlich sichtbar ist, was ist eine empfohlene Methode, um mein Implementierungstoken vor anderen zu verbergen? Muss ich auf eine Lösung wie GCP KMS zurückgreifen?

Answer 1

Ein CircleCI-Mitarbeiter geklärt this for me on their forums.

Diese Warnung ist für die Konfig [.yml] gedacht. Sie können UI-basierte CircleCI-Umgebungsvariablen sicher verwenden.

Wenn das Repo-/Projekt öffentlich ist, werden Sie wollen, nur um sicher zu stellen, dass:

• Umgebungs-Variablen in gegabelten Builds sind in den Einstellungen
• Sie echo nicht/print diese Variablen ausgeschaltet bauen überhaupt ausgegeben, da diese für die Öffentlichkeit
sichtbar sein könnte

so ist es möglich, einen öffentlichen Repo zu haben (und damit öffentlich CircleCI Projekt) mit Einsatz Schlüssel sicher in der CircleCI GUI konfiguriert.

Answer 2

Es klingt, als ob Sie CircleCI für Ihr Repo verwenden, aber die Open-Source-Version Ihres Projekts erfordert keine Bereitstellungstools wie Firebase. Wenn dies der Fall ist, sollten Sie das Firebase-Deployment-Token dort aufbewahren, wo es Ihnen am bequemsten und sichersten ist.

Es klingt auch so, als ob Sie gerade das Deployment-Token direkt in Ihrem Repo aufbewahren, denn das ist privat. Wenn Sie nur eine Handvoll Geheimnisse in Ihrem Repo haben, könnte etwas wie git-crypt Ihre Bedürfnisse erfüllen. Sobald Sie ein größeres Volumen erreicht haben, werden Sie wahrscheinlich etwas zentralisiertes wollen, und Cloud KMS to encrypt secrets ist eine Option.