{"meta":{"title":"Использование секретов в GitHub Actions","intro":"Узнайте, как создавать секреты на уровне репозитория, среды и организации для GitHub Actions рабочих процессов.","product":"GitHub Actions","breadcrumbs":[{"href":"/ru/actions","title":"GitHub Actions"},{"href":"/ru/actions/how-tos","title":"Инструкции"},{"href":"/ru/actions/how-tos/write-workflows","title":"Написание рабочих процессов"},{"href":"/ru/actions/how-tos/write-workflows/choose-what-workflows-do","title":"Выбор рабочих процессов"},{"href":"/ru/actions/how-tos/write-workflows/choose-what-workflows-do/use-secrets","title":"Использование секретов"}],"documentType":"article"},"body":"# Использование секретов в GitHub Actions\n\nУзнайте, как создавать секреты на уровне репозитория, среды и организации для GitHub Actions рабочих процессов.\n\n## Создание секретов для репозитория\n\nЧтобы создать секреты или переменные на GitHub для репозитория организации, необходимо иметь `write` доступ. Для репозитория личной учетной записи вы должны быть соавтором репозитория.\n\n
\n\n1. На GitHubперейдите на главную страницу репозитория.\n2. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. В разделе \"Безопасность\" боковой панели выберите ** Секреты и переменные**, а затем нажмите кнопку **\"Действия**\".\n4. Перейдите на вкладку **\"Секреты** \".\n\n\n\n1. Выберите **Новый секрет репозитория**.\n2. **В поле \"Имя\"** введите имя секрета.\n3. **В поле \"Секрет\"** введите значение секрета.\n4. Щелкните **Добавить секрет**.\n\nЕсли в репозитории есть секреты среды или доступ к секретам из родительской организации, эти секреты также отображаются на этой странице.\n\n
\n\n
\n\nЧтобы добавить секрет репозитория, используйте подкоманду `gh secret set`. Замените `secret-name` именем своего секрета.\n\n```shell\ngh secret set SECRET_NAME\n```\n\nCLI предложит ввести значение секрета. Кроме того, можно считать значение секрета из файла.\n\n```shell\ngh secret set SECRET_NAME < secret.txt\n```\n\nЧтобы получить список всех секретов для репозитория, используйте подкоманду `gh secret list`.\n\n
\n\n## Создание секретов для среды\n\nЧтобы создать секреты или переменные для среды в репозитории личная учетная запись, необходимо быть владельцем репозитория. Чтобы создать секреты или переменные для среды в репозитории организации, необходимо иметь `admin` доступ. Дополнительные сведения о средах см. в разделе [Управление средами для развертывания](/ru/actions/how-tos/deploy/configure-and-manage-deployments/manage-environments).\n\n
\n\n1. На GitHubперейдите на главную страницу репозитория.\n2. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. На левой боковой панели щелкните **Среды**.\n4. Щелкните среду, в которую нужно добавить секрет.\n5. В разделе **Секреты среды** нажмите кнопку **Добавить секрет**.\n6. Введите имя для секрета в поле ввода **Имя**.\n7. Введите значение для секрета.\n8. Щелкните **Добавить секрет**.\n\n
\n\n
\n\nЧтобы добавить секрет для среды, используйте `gh secret set` подкоманду с флагом `--env` или `-e`, за которым следует имя среды.\n\n```shell\ngh secret set --env ENV_NAME SECRET_NAME\n```\n\nЧтобы создать список всех секретов для среды, используйте `gh secret list` подкоманду с флагом `--env` или `-e`, за которым следует имя среды.\n\n```shell\ngh secret list --env ENV_NAME\n```\n\n
\n\n## Создание секретов для организации\n\n> \\[!NOTE]\n> Секреты и переменные уровня организации недоступны частными репозиториями.GitHub Free Дополнительные сведения об обновлении GitHub подписки см. в разделе [Обновление плана учетной записи](/ru/billing/how-tos/manage-plan-and-licenses/upgrade-plan).\n\nПри создании секрета или переменной в организации можно использовать политику для ограничения доступа к репозиторию. Например, можно предоставить доступ ко всем репозиториям либо ограничить доступ только частными репозиториями или указанным списком репозиториев.\n\nВладельцы действий организации\" могут создавать секреты или переменные на уровне организации.\n\n
\n\n1. На GitHubперейдите на главную страницу организации.\n\n2. Под именем организации щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n\n3. В разделе \"Безопасность\" боковой панели выберите ** Секреты и переменные**, а затем нажмите кнопку **\"Действия**\".\n\n4. Перейдите на вкладку **\"Секреты** \".\n\n \n\n5. Щелкните **Создать секрет организации**.\n\n6. Введите имя для секрета в поле ввода **Имя**.\n\n7. Введите **значение** для секрета.\n\n8. В раскрывающемся списке **Доступ к репозиторию** выберите политику доступа.\n\n9. Щелкните **Добавить секрет**.\n\n
\n\n
\n\n> \\[!NOTE]\n> По умолчанию GitHub CLI аутентифицируется с `repo` помощью и `read:org` scope. Для управления секретами организации необходимо дополнительно авторизовать область `admin:org`.\n>\n> ```shell\n> gh auth login --scopes \"admin:org\"\n> ```\n\nЧтобы добавить секрет для организации, используйте подкоманду `gh secret set` с флагом `--org` или `-o`, за которым следует имя организации.\n\n```shell\ngh secret set --org ORG_NAME SECRET_NAME\n```\n\nПо умолчанию секрет доступен только частным репозиториям. Чтобы указать, что секрет должен быть доступен для всех репозиториев в организации, используйте флаг `--visibility` или `-v`.\n\n```shell\ngh secret set --org ORG_NAME SECRET_NAME --visibility all\n```\n\nЧтобы указать, что секрет должен быть доступен для выбранных репозиториев в организации, используйте флаг `--repos` или `-r`.\n\n```shell\ngh secret set --org ORG_NAME SECRET_NAME --repos REPO-NAME-1, REPO-NAME-2\n```\n\nЧтобы создать список всех секретов для организации, используйте подкоманду `gh secret list` с флагом `--org` или `-o`, за которым следует имя организации.\n\n```shell\ngh secret list --org ORG_NAME\n```\n\n
\n\n## Проверка доступа к секретам на уровне организации\n\nВы можете проверить, какие политики доступа применяются к секрету в вашей организации.\n\n1. На GitHubперейдите на главную страницу организации.\n2. Под именем организации щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. В разделе \"Безопасность\" боковой панели выберите ** Секреты и переменные**, а затем нажмите кнопку **\"Действия**\".\n4. Список секретов включает все настроенные разрешения и политики. Дополнительные сведения о настроенных разрешениях для каждого секрета нажмите кнопку **\"Обновить**\".\n\n## Использование секретов в рабочем процессе\n\n> \\[!NOTE]\n>\n> * За исключением `GITHUB_TOKEN`, секреты не передаются в средство выполнения при активации рабочего процесса из вилки репозитория.\n> * Секреты не передаются в повторно используемые рабочие процессы. Дополнительные сведения см. в разделе [Повторное использование рабочих процессов](/ru/actions/how-tos/reuse-automations/reuse-workflows#passing-inputs-and-secrets-to-a-reusable-workflow).\n> * Секреты недоступны для рабочих процессов, запускаемых Dependabot событиями. Дополнительные сведения см. в разделе [Устранение неполадок зависимостей от действий GitHub](/ru/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-on-actions#accessing-secrets).\n> * Если вашим GitHub Actions рабочим процессам нужно получать доступ к ресурсам облачного провайдера, поддерживающего OpenID Connect (OIDC), вы можете настроить свои рабочие процессы для аутентификации напрямую в облачном провайдере. Это позволит прекратить хранение таких учетных данных в виде долгоживущих секретов и обеспечить другие преимущества безопасности. Дополнительные сведения см. в разделе [OpenID Connect](/ru/actions/concepts/security/openid-connect).\n\n> \\[!WARNING] Маскируйте всю конфиденциальную информацию, которая не GitHub является секретом, используя `::add-mask::VALUE`. Это приводит к тому, что значение будет рассматриваться как секрет и отредактировано из журналов.\n\nЧтобы указать действие с секретом в качестве входных данных или переменной среды, можно использовать контекст `secrets` для доступа к секретам, созданным в репозитории. Дополнительные сведения см. в разделе \\[AUTOTITLE и [Справочник по контекстам](/ru/actions/reference/workflows-and-actions/contexts)]\\(/actions/reference/workflows-and-actions/workflow-syntax).\n\n```yaml\nsteps:\n - name: Hello world action\n with: # Set the secret as an input\n super_secret: ${{ secrets.SuperSecret }}\n env: # Or as an environment variable\n super_secret: ${{ secrets.SuperSecret }}\n```\n\nНа секреты нельзя напрямую ссылаться в условных выражениях `if:`. Вместо этого рекомендуется задать секреты в качестве переменных среды на уровне задания, а затем создать ссылки на переменные среды для условного выполнения шагов в задании. Дополнительные сведения см. в разделе [Справочник по контекстам](/ru/actions/reference/workflows-and-actions/contexts#context-availability) и`jobs..steps[*].if`[](/ru/actions/reference/workflows-and-actions/workflow-syntax#jobsjob_idstepsif) .\n\nЕсли секрет не установлен, возвращаемое значение выражения, ссылающегося на секрет (например `${{ secrets.SuperSecret }}` , в примере), будет пустой строкой.\n\nПо возможности избегайте передачи секретов между процессами из командной строки. Процессы командной строки могут быть видимы для других пользователей (с помощью команды `ps`) или сканируются [событиями аудита безопасности](https://docs.microsoft.com/windows-server/identity/ad-ds/manage/component-updates/command-line-process-auditing). Чтобы обеспечить защиту секретов, рассмотрите возможность использования переменных среды, `STDIN`или других механизмов, поддерживаемых целевым процессом.\n\nЕсли необходимо передать секреты в командной строке, добавьте их в соответствующие правила . Секреты зачастую содержат специальные символы, которые могут непреднамеренно повлиять на оболочку. Чтобы экранировать эти специальные символы, заключайте переменные среды в кавычки. Например:\n\n### Пример с использованием Bash\n\n```yaml\nsteps:\n - shell: bash\n env:\n SUPER_SECRET: ${{ secrets.SuperSecret }}\n run: |\n example-command \"$SUPER_SECRET\"\n```\n\n### Пример с использованием PowerShell\n\n```yaml\nsteps:\n - shell: pwsh\n env:\n SUPER_SECRET: ${{ secrets.SuperSecret }}\n run: |\n example-command \"$env:SUPER_SECRET\"\n```\n\n### Пример с использованием Cmd.exe\n\n```yaml\nsteps:\n - shell: cmd\n env:\n SUPER_SECRET: ${{ secrets.SuperSecret }}\n run: |\n example-command \"%SUPER_SECRET%\"\n```\n\n## Хранение больших секретов\n\nЧтобы использовать секреты больше 48 КБ, можно использовать обходной путь, чтобы хранить секреты в своём репозитории и сохранять пароль для расшифровки как секрет на GitHub. Например, вы можете `gpg` использовать для локального шифрования файла, содержащего ваш секрет, прежде чем отправить зашифрованный файл в репозиторий на GitHub. Дополнительные сведения см. в [gpg manpage](https://www.gnupg.org/gph/de/manual/r1023.html).\n\n> \\[!WARNING]\n> Будьте осторожны, чтобы секреты не печатались при запуске рабочего процесса. При использовании этого обходного пути GitHub не удаляется секреты, напечатанные в журналах.\n\n1. Выполните следующую команду на терминале, чтобы зашифровать файл, содержащий секрет, с помощью `gpg` и алгоритма шифра AES256. В этом примере секрет содержит файл `my_secret.json`.\n\n ```shell\n gpg --symmetric --cipher-algo AES256 my_secret.json\n ```\n\n2. Вам будет предложено ввести парольную фразу. Запомните пароль, потому что вам нужно создать новый секрет GitHub , который использует пароль как значение.\n\n3. Создайте новый секрет, который содержит парольную фразу. Например, создайте новый секрет с именем `LARGE_SECRET_PASSPHRASE` и задайте для секрета парольную фразу, использованную на предыдущем шаге.\n\n4. Скопируйте зашифрованный файл в путь в репозитории и выполните его фиксацию. В этом примере зашифрованный файл имеет значение `my_secret.json.gpg`.\n\n > \\[!WARNING]\n > Обязательно скопируйте зашифрованный `my_secret.json.gpg` файл, `.gpg` заканчивающийся расширением файла, а **не** незашифрованный `my_secret.json` файл.\n\n ```shell\n git add my_secret.json.gpg\n git commit -m \"Add new secret JSON file\"\n ```\n\n5. Создайте скрипт оболочки в репозитории для расшифровки файла секрета. В этом примере секрет называется `decrypt_secret.sh`.\n\n ```shell copy\n #!/bin/sh\n\n # Decrypt the file\n mkdir $HOME/secrets\n # --batch to prevent interactive command\n # --yes to assume \"yes\" for questions\n gpg --quiet --batch --yes --decrypt --passphrase=\"$LARGE_SECRET_PASSPHRASE\" \\\n --output $HOME/secrets/my_secret.json my_secret.json.gpg\n ```\n\n6. Перед возвратом в репозиторий убедитесь, что скрипт оболочки является исполняемым.\n\n ```shell\n chmod +x decrypt_secret.sh\n git add decrypt_secret.sh\n git commit -m \"Add new decryption script\"\n git push\n ```\n\n7. В вашем GitHub Actions рабочем процессе используйте a `step` , чтобы вызвать shell-скрипт и расшифровать секрет. Чтобы создать копию репозитория в среде, в которой выполняется рабочий процесс, необходимо использовать действие [`actions/checkout`](https://github.com/actions/checkout). Создайте ссылку на сценарий оболочки с помощью команды `run` относительно корня репозитория.\n\n ```yaml\n name: Workflows with large secrets\n\n on: push\n\n jobs:\n my-job:\n name: My Job\n runs-on: ubuntu-latest\n steps:\n - uses: actions/checkout@v6\n - name: Decrypt large secret\n run: ./decrypt_secret.sh\n env:\n LARGE_SECRET_PASSPHRASE: ${{ secrets.LARGE_SECRET_PASSPHRASE }}\n # This command is just an example to show your secret being printed\n # Ensure you remove any print statements of your secrets. GitHub does\n # not hide secrets that use this workaround.\n - name: Test printing your secret (Remove this step in production)\n run: cat $HOME/secrets/my_secret.json\n ```\n\n## Хранение двоичных BLOB-объектов Base64 в виде секретов\n\nКодировку Base64 можно использовать для хранения небольших BLOB-объектов в виде секретов. Затем можно создать ссылку на секрет в рабочем процессе и декодировать его для использования в средстве выполнения тестов. Ограничения размера см. в разделе [Справочник по секретам](/ru/actions/reference/security/secrets#limits-for-secrets).\n\n> \\[!NOTE]\n>\n> * Обратите внимание, что Base64 преобразует только двоичный файл в текст и не является заменой фактического шифрования.\n> * Использование другой оболочки может потребовать различных команд для декодирования секрета в файл. В запусках Windows рекомендуется [использовать оболочку](/ru/actions/reference/workflows-and-actions/workflow-syntax#jobsjob_idstepsshell) bash с `shell: bash` помощью команд, описанных на приведенном выше шаге `run` .\n\n1. Используйте `base64` для кодирования файла в строку Base64. Например:\n\n В macOS можно выполнить следующее:\n\n ```shell\n base64 -i cert.der -o cert.base64\n ```\n\n В Linux можно выполнить следующее:\n\n ```shell\n base64 -w 0 cert.der > cert.base64\n ```\n\n2. Создайте секрет, который содержит строку Base64. Например:\n\n ```shell\n $ gh secret set CERTIFICATE_BASE64 < cert.base64\n ✓ Set secret CERTIFICATE_BASE64 for octocat/octorepo\n ```\n\n3. Чтобы получить доступ к строке Base64 из средства выполнения тестов, передайте секрет в `base64 --decode`. Например:\n\n ```yaml\n name: Retrieve Base64 secret\n on:\n push:\n branches: [ octo-branch ]\n jobs:\n decode-secret:\n runs-on: ubuntu-latest\n steps:\n - uses: actions/checkout@v6\n - name: Retrieve the secret and decode it to a file\n env:\n CERTIFICATE_BASE64: ${{ secrets.CERTIFICATE_BASE64 }}\n run: |\n echo $CERTIFICATE_BASE64 | base64 --decode > cert.der\n - name: Show certificate information\n run: |\n openssl x509 -in cert.der -inform DER -text -noout\n ```\n\n## Следующие шаги\n\nСправочные сведения см. в разделе [Справочник по секретам](/ru/actions/reference/security/secrets)."}