github/docs

OIDC examples don't pin external actions (& don't declare them)

Open

#34.316 aberto em 15 de ago. de 2024

Ver no GitHub
 (9 comments) (0 reactions) (0 assignees)TypeScript (67.056 forks)batch import
SME reviewedactionscontenthelp wantednever-stale

Métricas do repositório

Stars
 (19.479 stars)
Métricas de merge de PR
 (Mesclagem média 3d 19h) (90 fundiu PRs em 30d)

Description

Code of Conduct

What article on docs.github.com is affected?

  1. https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/configuring-openid-connect-in-google-cloud-platform#requesting-the-access-token
  2. https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/configuring-openid-connect-in-amazon-web-services#requesting-the-access-token
  3. https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/configuring-openid-connect-in-azure#requesting-the-access-token
  4. https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/configuring-openid-connect-in-hashicorp-vault#requesting-the-access-token
  5. https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/configuring-openid-connect-in-pypi#updating-your-github-actions-workflow

What part(s) of the article would you like to see updated?

    steps:
    - id: 'auth'
      name: 'Authenticate to GCP'
      uses: 'google-github-actions/auth@v0.3.1'
      with:

should pin a hash instead, also the reusable disclaiming 3rdparty usage should be added.

Additional information

This is analogous for all the pages mentioned, for both # Requesting and # Revoking examples.

Guia do colaborador

Direção de pesquisa
Atualize os exemplos de fluxo de trabalho nas páginas listadas para fixar as ações em um hash específico em vez de uma tag de versão, seguindo as melhores práticas de segurança. Adicione um aviso sobre o uso de ações de terceiros. Consulte a discussão existente nos comentários para qualquer feedback dos mantenedores. As alterações são diretas e localizadas nos blocos de código YAML.
Pilha de tecnologia
github actions
Domain
security
Tipo Issue
Documentação
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
1
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitGitHub Actions
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
85