तपाई CI/CD पाइपलाइनमा गोप्य जानकारी कसरी व्यवस्थापन गर्नुहुन्छ?

Question

Accepted Answer

CI/CD पाइपलाइनलाई **गोप्य जानकारी** (API कुञ्जी, तैनाती प्रमाणपत्र, डेटाबेस पासवर्ड, टोकन) निर्माण र तैनाती गर्न आवश्यक छ — तर असुरक्षित तरिकाले हेरफेर गर्नु एक गम्भीर जोखिम हो। सही **गोप्य जानकारी व्यवस्थापन** पाइपलाइनभरि प्रमाणपत्रलाई सुरक्षित राख्छ।

## समस्या: गोप्य जानकारी कहिले पनि उजागर हुनु हुँदैन

```text
Pipelines need credentials, but secrets are a major security risk if mishandled:
  ⚠️ NEVER hardcode secrets in code, pipeline config files, or commit them to Git
     (committed secrets are exposed in history — even if "removed" later)
  ⚠️ NEVER print secrets in logs (pipeline logs may be visible/stored)
→ Leaked CI/CD secrets (deploy keys, cloud credentials) can compromise entire systems.
```

## सही गोप्य जानकारी व्यवस्थापन

```text
✓ Use the CI/CD platform's SECRETS STORE — encrypted secrets injected as env vars at
  runtime (GitHub Actions Secrets, GitLab CI variables, etc.) — NOT in the config file
✓ Use dedicated SECRETS MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc.
  (fetch secrets at runtime; centralized, audited, rotatable)
✓ Reference secrets by NAME in the pipeline; the platform injects the value securely:
```

```yaml
# GitHub Actions: reference a secret (stored encrypted in the repo settings)
steps:
  - run: ./deploy.sh
    env:
      API_KEY: ${{ secrets.API_KEY }}   # injected securely, not hardcoded, masked in logs
```

## उत्तम अभ्यास

```text
✓ LEAST PRIVILEGE — pipeline credentials should have only the permissions needed
✓ Prefer short-lived/temporary credentials (e.g. OIDC to assume a cloud role — no
  long-lived keys stored at all)
✓ ROTATE secrets regularly; rotate IMMEDIATELY if leaked
✓ Mask secrets in logs (platforms do this for stored secrets); audit secret access
✓ Separate secrets per environment (dev/staging/prod)
```

## किन यो महत्त्वपूर्ण छ

CI/CD पाइपलाइनमा गोप्य जानकारी कसरी व्यवस्थापन गर्ने भनेर बुझ्न महत्त्वपूर्ण छ किनकि **गोप्य जानकारी व्यवस्थापन एक गम्भीर सुरक्षा चिन्ता** हो, र पाइपलाइनलाई शक्तिशाली प्रमाणपत्र हेरफेर गर्न आवश्यक छ जुन लीक भएमा सम्पूर्ण प्रणाली को सम्भावना गर्न सक्छ, त्यसैले यो आवश्यक सुरक्षा ज्ञान हो।

पाइपलाइनलाई गोप्य जानकारी (API कुञ्जी, तैनाती प्रमाणपत्र, डेटाबेस पासवर्ड) निर्माण र तैनाती गर्न आवश्यक छ, तर यसलाई गलत तरिकाले हेरफेर गर्नु एक **गम्भीर, सामान्य सुरक्षा जोखिम** हो।

आधारभूत नियमहरु बुझ्न — **कहिले पनि कोडमा वा पाइपलाइन कन्फिगमा गोप्य जानकारी हार्डकोड गर्नु हुँदैन, यसलाई Git मा प्रतिबद्ध गर्नु हुँदैन** (जहाँ यो इतिहासमा उजागर हुन्छ, यहाँकी "हटाइएको" पनि हुँदैन), र **लगमा यसलाई कहिले पनि छाप्नु हुँदैन** — आवश्यक छ किनकि यो गल्तिले वास्तविक, हानिकारक प्रमाणपत्र लीक (लीक भएको तैनाती कुञ्जी वा क्लाउड प्रमाणपत्र सम्पूर्ण प्रणाली को सम्भावना गर्न सक्छ) को कारण बन्छ।

सही **गोप्य जानकारी व्यवस्थापन** बुझ्न — CI/CD प्ल्याटफर्मको **इन्क्रिप्ट गरिएको गोप्य जानकारी भण्डार** (रनटाइममा पরिवेश चरको रूपमा गोप्य जानकारी इन्जेक्ट गर्दै कन्फिगमा भण्डारण गर्नुको सट्टा), समर्पित **गोप्य जानकारी प्रबन्धक** (Vault, AWS Secrets Manager केन्द्रीकृत, लेखापरीक्षित, घुमाउन सकिने गोप्य जानकारीको लागि) प्रयोग गरेर, र गोप्य जानकारीलाई नामद्वारा सन्दर्भ गरेर प्ल्याटफर्मले मानहरु सुरक्षित रूपमा इन्जेक्ट गर्छ (र तिनीहरुलाई लगमा मास्क गर्छ) — प्रमाणपत्र सुरक्षित राख्नको लागि आवश्यक व्यावहारिक ज्ञान हो।

**उत्तम अभ्यास** बुझ्न — **न्यूनतम सुविधा** (पाइपलाइन प्रमाणपत्र केवल आवश्यक अनुमति राख्छन्, ब्लास्ट त्रिज्या सीमित गर्दै), **अल्पकालीन/अस्थायी प्रमाणपत्र** (OIDC जस्तो क्लाउड भूमिका ग्रहण गर्न पसन्द गरेर, दीर्घकालीन कुञ्जी भण्डारण गर्नु बिल्कुल नगर्दै — आधुनिक उत्तम अभ्यास), **नियमित रूपमा घुमाउने** गोप्य जानकारी र यदि लीक भएमा तत्काल, र पर्यावरण प्रति गोप्य जानकारी अलग गर्दै — परिपक्व, सुरक्षित पाइपलाइन अभ्यास प्रतिबिम्बित गर्छ।

CI/CD पाइपलाइनले शक्तिशाली प्रमाणपत्र हेरफेर गर्न आवश्यक छ जिसको रिसाभले प्रणाली को सम्भावना गर्न सक्छ, र सही गोप्य जानकारी व्यवस्थापन (कहिले पनि हार्डकोडिङ्/प्रतिबद्ध/लगिङ्ग गोप्य जानकारी नगर्दै, गोप्य जानकारी भण्डार/प्रबन्धक प्रयोग गरेर, न्यूनतम सुविधा, र अल्पकालीन प्रमाणपत्र) गम्भीर उल्लङ्घन रोक्नको लागि आवश्यक छ, CI/CD मा गोप्य जानकारी कसरी व्यवस्थापन गर्ने भनेर बुझ्न महत्त्वपूर्ण, सुरक्षा-गम्भीर ज्ञान हो सुरक्षित पाइपलाइन निर्माणको लागि — उच्च-दांव क्षेत्र जहाँ सही अभ्यास प्रमाणपत्र लीक रोक्छ जुन स्वचालित डिलिभरीमा वास्तविक, हानिकारक जोखिम छ।