Best Practices zur Implementierung von GitHub Actions und Workflows
Die von uns angebotene LHM-Dokumentation zu GitHub Actions in lhm_actions werden hauptsächlich von Workflows der LHM-Referenzarchitekturvorlagen und somit in den meisten unserer Projekt-Repositorys verwendet.
Diese Aktionen können auch in Projekten verwendet werden, die nicht auf den Referenzarchitekturvorlagen basieren. Möglicherweise ist es jedoch erforderlich, dass Sie eine eigene Aktion oder einen eigenen Workflow implementieren müssen. Achten Sie in diesem Fall bitte auf Sicherheitslücken und halten Sie sich an die Sicherheitsrichtlinien für das Schreiben von Workflows und die Nutzung von GitHub-Actions-Funktionen, insbesondere:
- Verwenden einer Zwischenumgebungsvariablen
- Verwenden von Drittanbieteraktionen
- Einschränken von Berechtigungen für Token
- Sicherheitspraktiken zum Schreiben von Workflows und zum Verwenden von GitHub Actions Features.: Wir bieten bereits eine action und einen Workflow zur Verwendung von CodeQL an.
Weblinks
- GitHub Secure use reference
- Salesforce Github Actions Security Best Practices
- GitLab about Supply Chain Attacken Pipeline security lessons from March supply chain incidents