Настроить интеграцию с Yandex Lockbox в SourceCraft

В CI/CD SourceCraft вы можете использовать секреты, значения которых хранятся в сервисе Yandex Lockbox. SourceCraft обращается к ним через сервисное подключение.

С помощью интеграции с Yandex Lockbox вы можете:

  • хранить секреты в Yandex Cloud, не дублируя их значения в SourceCraft;
  • использовать полноценный менеджмент секретов с версионированием и гранулярными правами доступа;
  • использовать одни и те же секреты в SourceCraft и в других сервисах Yandex Cloud.

Чтобы настроить интеграцию с Yandex Lockbox:

  1. Подготовьтесь к работе
  2. Создайте в SourceCraft секрет типа Lockbox
  3. Используйте значение секрета в CI/CD
  4. Проверить выполнение CI/CD-процесса

Совет

Чтобы использовать секрет Yandex Lockbox в именованном окружении, выполните подготовку ниже, затем добавьте секрет в окружение. Так можно разделить доступ к значениям для staging и production или подключить общие секреты из окружения организации или проекта.

Перед началом работы

  1. Если у вас еще нет секрета в Yandex Lockbox, создайте его. Сохраните названия ключей, которые добавили в секрет, — к ним вы будете обращаться из CI/CD.
  2. Создайте сервисный аккаунт или используйте существующий. От его имени SourceCraft будет получать секрет из Yandex Lockbox.
  3. Назначьте сервисному аккаунту роль lockbox.payloadViewer на секрет, созданный ранее, или на каталог с секретом. Эта роль позволяет читать значения версий секрета.
  4. Если у вас еще нет сервисного подключения с доступом к Yandex Lockbox, создайте его. В настройках подключения используйте сервисный аккаунт, которому ранее назначили роль lockbox.payloadViewer.

Создайте в SourceCraft секрет типа Lockbox

  1. Откройте главную страницу SourceCraft.

  2. На вкладке Домой в секции Ваша мастерская перейдите в раздел Репозитории.

  3. Выберите репозиторий, в котором хотите создать секрет.

  4. На странице репозитория в разделе Настройки репозитория перейдите в секцию Секреты.

  5. На странице с секретами нажмите Новый секрет.

  6. В открывшемся диалоге настройте секрет:

    1. Выберите тип Yandex Lockbox.
    2. В поле Название задайте название, по которому будете обращаться к секрету из CI/CD.
    3. В поле Сервисное подключение выберите сервисное подключение, подготовленное ранее.
    4. В поле Секрет Lockbox выберите секрет Yandex Lockbox.
    5. (Опционально) Чтобы подключить только часть ключей, нажмите Выбрать ключи. В блоке Ключи payload нажмите названия нужных ключей, например DB_USER и DB_PASSWORD. Нужно выбрать хотя бы один ключ. Если не настраивать выбор, будут добавлены все ключи секрета.
    6. Нажмите Добавить секрет.

Примечание

SourceCraft обращается к последней актуальной версии секрета в Yandex Lockbox.

Используйте значение секрета в CI/CD

  1. Настройте CI/CD в репозитории.

  2. В конфигурационном файле .sourcecraft/ci.yaml обратитесь к ключу из секрета Yandex Lockbox в формате ${{ secrets.<название_секрета_Lockbox>#<ключ>}}, например:

    workflows:
  test-lockbox-workflow:
    tasks:
      - name: test-lockbox-task
        env:
          BOT_TOKEN: $not_var{{ secrets.LOCKBOX_TEST#BOT_TOKEN }}
        cubes:
          - name: test-lockbox-task
            script:
              - |
                if [ -n "$BOT_TOKEN" ]; then
                  echo "PASS: Lockbox key received"
                else
                  echo "FAIL: Lockbox key is missing or empty"
                  exit 1
                fi

    В примере LOCKBOX_TEST — название секрета в SourceCraft, который ссылается на секрет Yandex Lockbox. Ключ BOT_TOKEN должен существовать в Yandex Lockbox и входить в выбранный набор ключей. Проверка выводит PASS или FAIL, не выводя само значение.

Проверить выполнение CI/CD-процесса

  1. В зависимости от настроек, указанных в .sourcecraft/ci.yaml, выполните событие-триггер.

  2. Проверьте выполнение CI/CD-процесса:

    1. На странице репозитория в разделе Код перейдите в секцию CI/CD.
    2. Выберите запущенный рабочий процесс (workflow).
    3. На открывшейся странице будут отображены все задания (tasks) рабочего процесса, шаги задания — кубики (cubes), а также статусы и результаты выполнения.

Смотри также

Предыдущая
Управлять секретами
Следующая
Работа с переменными окружения