12강. GitHub Secrets와 토큰을 안전하게 다루는 원칙

?1. 이번 강의에서 해결할 문제

자동 배포에 인증 값이 필요하다고 토큰을 workflow에 직접 쓰면 저장소와 로그에 노출됩니다. 현재 Pages 공식 action에는 사용자 PAT가 필요하지 않음을 먼저 확인합니다.

✓2. 학습 목표

✓이 강의를 마치면

• GitHub Secret과 일반 workflow 변수의 차이를 설명합니다.
• Pages 공식 배포의 GITHUB_TOKEN 최소 권한을 확인합니다.
• 비밀 노출 시 폐기·재발급·범위 조사 순서를 적용합니다.

◇3. 핵심 개념

GitHub Secret은 저장소·환경·조직 범위에서 만들고 workflow가 명시적으로 참조할 때만 전달됩니다. 마스킹은 실수 방지에 도움을 주지만 모든 변형 출력을 보장하지 않으므로 비밀을 출력하지 않는 것이 원칙입니다. 현재 Pages workflow는 저장소가 제공하는 단기 GITHUB_TOKEN 권한으로 배포하며 사용자 PAT나 SSH 개인 키를 YAML에 넣지 않습니다.

GitHub Actions Secrets 공식 문서의 범위와 명시적 참조 원칙을 확인합니다.

✎4. 단계별 실습

1. PowerShell

실행 위치: 저장소 루트

실행 전 확인: 실제 Secret 값은 조회하거나 출력하지 않습니다.

대상: workflow의 비밀·권한 참조

PowerShell

Select-String -Path .github\workflows\*.yml -Pattern "secrets\.|GITHUB_TOKEN|permissions:|pages:|id-token:"

예상 결과: 현재 Pages workflow의 최소 권한이 보이고 사용자 비밀 값은 나타나지 않습니다.

2. GitHub 웹 화면

실행 위치: Settings → Secrets and variables → Actions

실행 전 확인: 이 과정의 Pages 배포에는 새 Secret이 필요하지 않으며 실제 서비스 가입·토큰 발급을 요구하지 않습니다.

대상: 가상 선택 기능용 EXAMPLE_SERVICE_TOKEN 이름

GitHub 웹 화면

1. Secret 이름·사용 환경 설계
2. 최소 권한·짧은 만료 정책 확인
3. 값은 화면·문서·PR에 복사하지 않기
4. 사용하지 않는 Secret 제거 계획 기록

예상 결과: 실제 값을 만들지 않아도 Secret의 범위와 수명 주기를 설명할 수 있습니다.

→5. 배포·운영 흐름이 동작하는 이유

Secret은 runner 실행 시 필요한 step 환경에만 주입할 수 있고, 최소 권한 토큰은 유출 시 피해 범위를 줄입니다. 공식 Pages action은 OIDC와 저장소 기본 토큰을 사용해 장기 개인 토큰 저장을 피합니다.

!6. 자주 하는 실수와 안전한 해결법

!자주 하는 실수

• 실수: Secret 값을 echo로 점검 안전한 해결: 존재 여부만 조건으로 확인하고 값 전체를 출력하지 않습니다.
• 실수: 모든 job에 Secret 전달 안전한 해결: 정말 필요한 하나의 step과 환경으로 범위를 줄입니다.
• 실수: 노출 토큰을 YAML에서만 삭제 안전한 해결: 토큰을 즉시 폐기·재발급하고 workflow 로그·Git 이력·artifact를 조사합니다.

✎7. 직접 실습

✎직접 실습

1. 현재 Pages workflow가 사용자 PAT 없이 동작하는 이유를 적습니다.
2. 가상 Secret의 권한·만료·회전 정책을 설계합니다.
3. 유출 대응 절차를 폐기→재발급→범위 조사→정리 순서로 작성합니다.

실습 기록에는 변경 SHA, 실행 위치, 확인 대상, 예상 결과와 실제 결과를 남기고 실제 토큰·비밀번호·SSH 개인 키·.env 내용은 포함하지 않습니다.

?8. 이해 점검 질문 3개

?이해 점검

1. Secret은 workflow에서 언제 읽을 수 있나요?
2. 현재 Pages workflow에 장기 PAT가 필요하지 않은 이유는 무엇인가요?
3. 마스킹만 믿고 Secret을 출력하면 안 되는 이유는 무엇인가요?

■9. 핵심 요약

■핵심 요약

비밀은 필요한 범위와 시간에만 주입하고 절대 출력하지 않습니다. Pages 기본 배포는 장기 개인 토큰 없이 최소 권한으로 구성하며 유출 시 폐기가 첫 조치입니다.