CI/CD セキュリティ.

CI/CD 基盤はソースコードと本番の間に位置するため、ここを侵害されると攻撃者は実行されるものをほぼ自由に操作できます。CI/CD セキュリティは、アイデンティティ(最小権限の OIDC トークン、フェデレーション、長寿命のデプロイ鍵を持たない設計)、パイプライン構成(ピン留めされたランナー、署名付きビルドステップ、隔離されたジョブ)、シークレット管理(Vault、ジャストインタイム認証情報、シークレットスキャン、ログのマスキング)、ソースの完全性(署名コミット、ブランチ保護、必須レビュー)、サプライチェーン統制(SBOM、SLSA、署名済み成果物)、コントローラ自体のランタイム保護を含みます。SolarWinds、Codecov、SCMKit 等の事案により、CI/CD は高価値の攻撃対象とされています。代表的な指針には OWASP CI/CD Top 10 と CISA のサプライチェーンガイダンスがあります。