Identidad en canalizaciones de integración continua

Con una clave estática, la canalización lleva guardado un valor que sirve desde cualquier lugar y mientras no se rote. Con un token de corta vida, la plataforma de integración emite un documento firmado que dice qué repositorio y qué rama lo piden; el destino lo acepta o no según una política de confianza y entrega acceso por minutos. No hay valor que robar de la herramienta, pero toda la seguridad pasa a depender de lo que la política acepta.

La migración a tokens se hace canalización por canalización, y las que faltan se localizan en el inventario. Una clave estática para empaquetar una imagen es un riesgo menor que una clave estática para liberar en un clúster, porque la segunda mueve código a producción. Busca esta última.

ls canalizaciones
cat canalizaciones/canalizaciones.csv

Una política de confianza decide qué tokens se aceptan. Si limita solo el emisor, acepta cualquier repositorio de la plataforma; si limita el repositorio pero no la rama, acepta una rama de experimentos tanto como la principal. Lee las dos políticas y encuentra la que no pone límite al repositorio.

cat canalizaciones/politicas-de-confianza.txt

La política floja solo importa si se usa. El registro de liberaciones muestra repositorio, rama, identidad usada y resultado. Cuenta las liberaciones exitosas hechas con el acceso del reportero desde repositorios que no son el del reportero. Las denegadas no cuentan, porque algo las frenó, y las de otras identidades tampoco.

cat canalizaciones/registro-de-liberaciones.log
grep acceso-liberacion-reportero canalizaciones/registro-de-liberaciones.log

La corrección se redacta y se pacta con el dueño de cada canalización: la política debe limitar el repositorio y la rama que libera, y la clave estática debe sustituirse por un token de corta vida. Mientras tanto se revisa el registro para saber qué se liberó con la política floja, con autorización, y sin concluir que hubo intención de abuso: puede ser un atajo de un equipo.