将 GitLab CI «protected» 变量用于机密是否安全？

Question

除了所谓的“受保护”变量，我还没有找到任何方法在 GitLab CI 管道中传递秘密变量。任何提交者都可以揭示任何其他变量，因为每个提交/分支都会抛出一个管道并且可以修改代码。

我不喜欢受保护的变量，因为它们太复杂了。我需要授予某些人访问某些变量的权限，就像我在 SQL 数据库或 Linux 文件系统中所做的那样。相反，我必须创建一个受保护的变量、一个受保护的分支、一个受保护的环境（高级功能）。而且我必须为某些用户添加维护者权限级别。然后（也许）他们将是唯一可以访问我的秘密变量的人。

另外，我不知道这些变量是如何存储的。通常，我使用 Hashicorp Vault，现在 GitLab 是最薄弱的安全点。

是否足够安全？是否有更可靠的方法在 CI 管道中保密？

Answer 1

问题 13784涉及 REST 加密，因此安全性不是......最佳

有一个史诗可以改善这一点，您可以设置 Vault 集成，但默认情况下没有。
问题 61053旨在解决以下问题：“键/值机密 MVC 的 Vault 集成”

越来越多的团队开始将他们的秘密存储在Vault中。
我们应该提供一种安全的方法来从 Vault 获取短期令牌，这些令牌可以在运行时由 CI/CD 管道中的作业使用。

这是 2019 年 9 月的 GitLab 12.3。