Non dovresti mai archiviare i token di sicurezza in un sistema di controllo della versione. Cloud Source Repositories può aiutare a impedire agli utenti di archiviare le chiavi di sicurezza in un il repository di Google Cloud. Cloud Source Repositories può controllare i seguenti tipi di token di sicurezza:
- Credenziali dell'account di servizio Google Cloud (formato JSON)
- Chiavi private con codifica PEM (inclusi RSA, DSA e PGP)
Questa funzionalità di verifica è disponibile per tutti i repository senza costi aggiuntivi.
Come funziona il controllo dei token di sicurezza
Quando un utente esegue un comando git push
, la funzionalità di controllo cerca i dati
che potrebbe essere un token di sicurezza. Se viene trovata una corrispondenza, la funzionalità blocca git
push e avvisa gli utenti che cosa è stato trovato e dove. Ad esempio:
The push has been rejected because we detect that it contains a private key. Please check the following commands and confirm that it's intentional: git show [COMMIT] You can use `git rev-list --objects --all` to find the files. To push these files, please run `git push -o nokeycheck`.
Prima di iniziare
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Disattiva il rilevamento del token di sicurezza
Per disattivare il rilevamento del token di sicurezza, usa il seguente comando gcloud
:
gcloud init
gcloud source project-configs update --disable-pushblock
Attiva rilevamento token di sicurezza
Per abilitare il rilevamento della chiave privata, utilizza il seguente comando gcloud
:
gcloud init
gcloud source project-configs update --enable-pushblock
Esegui l'override del rilevamento del token di sicurezza
Per eseguire l'override della funzionalità di rilevamento del token di sicurezza, usa git
:
git push -o nokeycheck
Passaggi successivi
Dopo aver configurato un repository Google Cloud, potresti notare quanto segue: argomenti utili: