CI/CD pipeline'lerinde sırları nasıl yönetirsiniz?

Question

Accepted Answer

CI/CD pipeline'leri sırları (API anahtarları, dağıtım kimlik bilgileri, veritabanı parolaları, tokenler) oluşturmak ve dağıtmak için gereksiz duysa da, bunları güvensiz bir şekilde işlemek ciddi bir risktir. Uygun **sır yönetimi**, kimlik bilgilerini pipeline boyunca güvenli tutar.

## Sorun: sırlar asla açığa çıkarılmamalıdır

```text
Pipelines need credentials, but secrets are a major security risk if mishandled:
  ⚠️ NEVER hardcode secrets in code, pipeline config files, or commit them to Git
     (committed secrets are exposed in history — even if "removed" later)
  ⚠️ NEVER print secrets in logs (pipeline logs may be visible/stored)
→ Leaked CI/CD secrets (deploy keys, cloud credentials) can compromise entire systems.
```

## Uygun sır işleme

```text
✓ Use the CI/CD platform's SECRETS STORE — encrypted secrets injected as env vars at
  runtime (GitHub Actions Secrets, GitLab CI variables, etc.) — NOT in the config file
✓ Use dedicated SECRETS MANAGERS — HashiCorp Vault, AWS Secrets Manager, etc.
  (fetch secrets at runtime; centralized, audited, rotatable)
✓ Reference secrets by NAME in the pipeline; the platform injects the value securely:
```

```yaml
# GitHub Actions: reference a secret (stored encrypted in the repo settings)
steps:
  - run: ./deploy.sh
    env:
      API_KEY: ${{ secrets.API_KEY }}   # injected securely, not hardcoded, masked in logs
```

## En iyi uygulamalar

```text
✓ LEAST PRIVILEGE — pipeline credentials should have only the permissions needed
✓ Prefer short-lived/temporary credentials (e.g. OIDC to assume a cloud role — no
  long-lived keys stored at all)
✓ ROTATE secrets regularly; rotate IMMEDIATELY if leaked
✓ Mask secrets in logs (platforms do this for stored secrets); audit secret access
✓ Separate secrets per environment (dev/staging/prod)
```

## Neden önemli

CI/CD pipeline'lerinde sırların nasıl işleneceğini anlamak önemlidir çünkü **sır yönetimi kritik bir güvenlik endişesidir** ve pipeline'ler güçlü kimlik bilgilerini işler; bunlar sızdırılırsa tüm sistemleri tehlikeye atabilir, bu nedenle bu, temel güvenlik bilgisidir.

Pipeline'ler sırları (API anahtarları, dağıtım kimlik bilgileri, veritabanı parolaları) oluşturmak ve dağıtmak için gereksiz duysa da, bunları yanlış işlemek **ciddi, yaygın bir güvenlik riskidir**.

Temel kuralları anlamak — **sırları asla kodda veya pipeline yapılandırmasında sabit şekilde kodlamayın, Git'e hiçbir zaman commit etmeyin** (burada geçmişte açığa çıkarılırlar, daha sonra "kaldırılsa" bile) ve **hiçbir zaman günlüklerde yazdırmayın** — önemlidir çünkü bu hatalar gerçek, zararlı kimlik bilgisi sızıntılarına neden olur (sızdırılan dağıtım anahtarları veya bulut kimlik bilgileri tüm sistemleri tehlikeye atabilir).

**Uygun sır işleme**ni anlamak — CI/CD platformunun **şifreli sır deposunu** kullanmak (sırları, yapılandırmada depolamak yerine çalışma zamanında ortam değişkenleri olarak enjekte etmek), özel **sır yöneticilerini** kullanmak (Vault, AWS Secrets Manager merkezi, denetlenen, döndürülebilir sırlar için) ve sırları ada göre referans vererek platform değerleri güvenli bir şekilde enjekte etmek (ve günlüklerde maskelemek) — kimlik bilgilerini güvenli tutmak için gereken pratik bilgidir.

**En iyi uygulamalar**ı anlamak — **en az ayrıcalık** (pipeline kimlik bilgilerinin yalnızca gerekli izinlere sahip olması, blast yarıçapını sınırlamak), **kısa ömürlü/geçici kimlik bilgilerini** tercih etmek (bulut rollerini üstlenmek için OIDC gibi, uzun ömürlü anahtarları hiç depolamaktan kaçınmak — modern bir en iyi uygulama), sırları düzenli olarak ve sızdırılırsa hemen **döndürmek**, ve sırları ortam başına ayırmak — olgun, güvenli pipeline uygulamalarını yansıtır.

CI/CD pipeline'leri güçlü kimlik bilgilerini işlediğinden ve bunların sızıntısı sistemleri tehlikeye atabilir ve uygun sır yönetimi (sırları hiçbir zaman sabit kodlamak/commit etmek/günlüğe kaydetmek, sır depoları/yöneticileri kullanmak, en az ayrıcalık ve kısa ömürlü kimlik bilgileri) ciddi ihlalleri önlemek için gerekli olduğundan, CI/CD'de sırların nasıl işleneceğini anlamak önemli, güvenlik açısından kritik bilgidir — uygun uygulamalar, gerçek, zararlı bir risk olan kimlik bilgisi sızıntılarını önleyen yüksek riskli bir alandır otomatik dağıtımda.