Mihin CRACI pääsee ja mitä se säilyttää

Miksi tähän kysymykseen kuuluu suora vastaus

CI-runneri näkee enemmän kuin useimmat työkalut pinossasi. Se hakee lähdekoodisi, asentaa riippuvuutesi ja pitää hallussaan salaisuuksia, joilla työnkulkusi julkaisevat paketteja ja tekevät käyttöönottoja. Kun GitHub Action tj-actions/changed-files vaarantui maaliskuussa 2025, CISA raportoi, että haitallinen koodi paljasti salaisuuksia, kuten pääsyavaimia, GitHubin henkilökohtaisia pääsytunnisteita, npm-tunnisteita ja yksityisiä RSA-avaimia. Runneri on paikka, jossa nuo salaisuudet ovat jobin ajon aikana.

Ennen kuin ohjaat työnkulun CRACI:lle, sinun kannattaa siis tietää tarkalleen, mihin se pääsee. Vastaukset ovat alla, ja CRACI Trust Centerissä ja osoitteessa docs.craci.com on lisätietoja.

Mihin GitHub Appia tarvitaan

CRACI korvaa runnerin, ei GitHub Actionsia. Pidät työnkulkusi, vaihdat valitsemiesi jobien runs-on-arvoksi craci, ja ajot näkyvät edelleen GitHubin käyttöliittymässä. Jotta tämä toimii, organisaatiosi asentaa CRACI GitHub Appin.

Asennuksen yhteydessä annat Appille pääsyn joko kaikkiin repositorioihin tai valittuihin. Vain repositoriot, joihin annat pääsyn, voivat ajaa työnkulkuja CRACI:lla.

Appin pyytämät tarkat oikeudet näkyvät GitHubin asennusnäkymässä, ja voit tarkistaa ne myöhemmin organisaatiosi asetuksista. Lyhyesti: App voi lukea koodiasi ja Actions-ajojasi, ja se hallinnoi runnereita, jotka se rekisteröi organisaatiollesi.

Missä koodisi ajetaan

Jobit ajetaan eristetyissä virtuaalikoneissa. Buildit ajetaan eurooppalaisella bare metal -infrastruktuurilla. Lähdekoodiasi käsitellään jobin virtuaalikoneessa buildin ajan.

Jokainen jobi ajetaan yhdellä kolmesta kuvasta: CRACI Slim, CRACI Slim ARM64 tai GitHub-yhteensopiva Ubuntu 24.04 -kuva. Runnerit ovat tällä hetkellä vain Linuxille; Windows ja macOS ovat tiekartalla.

Se, miten jobit eristetään ja mitä jobin virtuaalikoneelle tapahtuu jobin päättyessä, on dokumentoitu osoitteessa docs.craci.com ja Trust Centerissä.

Mitä CRACI säilyttää ja kuinka kauan

CRACI käsittelee lähdekoodiasi jobin virtuaalikoneessa buildin ajon aikana eikä säilytä sitä. Se säilyttää kustakin buildista tallentamansa näytön sekä välimuistit, jotka työnkulkusi tallentavat:

• Buildin metatiedot
• Pakettitiedot eli riippuvuudet, jotka kukin jobi haki
• Jobin verkkojäljet
• SBOM:t
• Alkuperätiedot (provenance)
• Välimuistit
• Audit-kirjaukset

Välimuisti sisältää sen, mitä työnkulkusi sinne laittaa, joten käsittele välimuistin sisältöä kuten mitä tahansa muuta buildin tuotosta.

Oletussäilytysaika on 180 päivää. Enterprise-tilauksissa säilytysajan voi asettaa itse. Datan poistamisesta ja salauksesta kerrotaan Trust Centerissä.

Ylläpito ja datan sijainti

CRACI:a ylläpidetään Euroopassa ja se tarjoaa datan sijainnin EU:ssa; buildit ajetaan eurooppalaisella bare metal -infrastruktuurilla. Alusta toimii saksalaisen Hetznerin palvelimilla datakeskuksessa Tuusulassa. Sivulla datan sijainti kerrotaan, mitä dataa CRACI käsittelee.

Itse buildin hallintakeinot

Runnerin, joka näkee salaisuutesi, pitäisi myös antaa sinun rajata, minne ne voivat mennä. CRACI:n verkon egress-käytännöt asettavat jokaiselle jobille oletukseksi eston tai sallimisen, ja niissä on 24 valmista esiasetusta yleisille ohjelmistolähteille sekä tyypitetyt omat lähteet rekistereille, kuten npm, PyPI, Cargo, Go proxy ja OCI. Voit myös kirjoittaa eksplisiittisiä TLS-, TCP-, UDP- ja ICMP-sääntöjä. Käytännöt validoidaan ennen jobin alkua, noudattavat fail closed -periaatetta (virhetilanteessa liikenne estetään) ja hylkäävät tuntemattomat kentät. Hälytykset ilmoittavat käytäntörikkomuksista.

Jobien liikenne lähtee vakaasta egress-IP-osoitealueesta, joten voit sallia CRACI:n runnerit omissa palomuureissasi osoitteen perusteella.

Pääsy organisaatiosi sisällä

• Enterprise-tilaukset tukevat SAML-kertakirjautumista, ja identiteetin tarjoajana on Google Workspace.
• Ylläpidon audit-loki kirjaa hallinnolliset toimenpiteet. Se on saatavilla käyttöliittymässä, eikä sitä voi vielä viedä.
• API-tunnisteet luovat ylläpitäjät, ne voi perua milloin tahansa, ja ne vanhenevat 90 päivän jälkeen.

Miten pidät pääsyn suppeana

Sinun ei tarvitse antaa CRACI:lle koko organisaatiotasi arvioidaksesi sitä.

1. Asenna valittuihin repositorioihin. Valitse Appia asentaessasi "Only select repositories" ja poimi yksi tai kaksi. Voit laajentaa tai supistaa joukkoa myöhemmin organisaatiosi kohdasta Settings, GitHub Apps, CRACI, Configure. Muutos tulee voimaan heti.
2. Siirrä yksi jobi kerrallaan. Vain jobit, joissa on runs-on: craci, ajetaan CRACI:lla. Kaikki muu pysyy nykyisellä runnerillaan.
3. Aloita jobista, jossa on vähän salaisuuksia. Testi- tai lint-jobi näyttää SBOM:n ja verkkonäytön ilman, että julkaisu- tai käyttöönottotunnuksia viedään uudelle runnerille.
4. Ota käyttöön oletuksena estävä egress-käytäntö. Salli pakettilähteet, joita jobi tarvitsee, eikä mitään muuta.
5. Tiedä, miten lähdet. GitHubissa voit keskeyttää Appin, mikä estää sen pääsyn mutta pitää sen asennettuna, tai poistaa sen, mikä poistaa sen pääsyn organisaatioosi.

Tietoturvamme tila

Tietoturvasivullamme kerrotaan, miten lähestymme asiaa: dokumentoituna, ei vain väitettynä. Trust Center kokoaa alustan taustalla olevat käytännöt, kontrollit ja dokumentaation, ja sieltä voit pyytää aineistoa toimittaja-arviointia varten.

Tämä sivu ei esitä sertifiointeja koskevia väitteitä. Tietoturvaohjelmamme ja mahdollisen auditointityön nykytilan näet Trust Centeristä.