secrets-management

Secrets Management - CI/CD 密钥安全管理

技能概述

帮助 DevOps 团队在 CI/CD 管道中实现安全的密钥管理，集成 Vault、AWS Secrets Manager、GitHub Secrets 等主流方案，支持密钥轮换、权限控制和泄露防护。

适用场景

CI/CD 管道中管理敏感凭证

当需要为持续集成和部署流程提供 API 密钥、数据库密码、TLS 证书等敏感信息时，使用该技能可以避免硬编码，集中管理所有凭证，并在日志中自动屏蔽敏感信息。

多环境密钥隔离与轮换

当需要在开发、测试、生产环境使用不同的密钥，并定期自动轮换以提升安全性时，该技能提供完整的密钥生命周期管理方案，包括轮换策略、权限控制和审计日志。

防止敏感信息泄露到代码仓库

当需要防范开发者误将密钥提交到 Git 仓库时，该技能集成 TruffleHog 等扫描工具，可在预提交钩子或 CI/CD 流程中自动检测并拦截包含敏感信息的代码。

核心功能

多平台密钥管理集成

支持 HashiCorp Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager 等主流密钥管理服务，以及 GitHub Secrets、GitLab CI 变量等平台内置方案，提供统一的集成方式和最佳实践。

CI/CD 流水线无缝集成

提供 GitHub Actions、GitLab CI、Jenkins 等主流 CI/CD 工具的详细集成配置示例，支持运行时动态获取密钥、环境变量注入、日志自动屏蔽等实用功能。

密钥安全生命周期管理

涵盖密钥存储、访问控制、自动轮换、审计监控、泄露扫描等全流程最佳实践，包括 Kubernetes External Secrets Operator 集成方案，实现容器化环境的密钥管理。

常见问题

CI/CD 管道中如何安全存储和管理敏感信息？

最佳实践是使用专业的密钥管理服务（如 HashiCorp Vault 或云平台原生方案）集中存储所有敏感信息，CI/CD 流水线在运行时通过认证身份动态获取所需密钥。不同环境应使用独立的密钥，并启用访问日志和审计功能。该技能提供了 GitHub Actions 和 GitLab CI 的详细集成示例。

HashiCorp Vault 和 AWS Secrets Manager 应该如何选择？

如果已经深度使用 AWS 生态，AWS Secrets Manager 是更简单的选择，它与 RDS、Lambda 等服务深度集成，支持自动轮换。如果需要跨云平台部署或更细粒度的访问控制，HashiCorp Vault 是更好的选择，它支持动态密钥生成和更多后端存储。该技能提供了两种方案的详细配置和使用指南。

如何防止敏感信息泄露到代码仓库？

建议在 Git 预提交钩子中集成 TruffleHog 或 GitGuardian 等扫描工具，在代码提交前自动检测敏感信息。同时在 CI/CD 流水线中添加密钥扫描步骤，对历史代码和新增代码进行持续监控。该技能提供了完整的预提交钩子和 CI/CD 集成配置示例。