如何在不共享源凭证的情况下创建AWS CodeBuild项目

如何解决如何在不共享源凭证的情况下创建AWS CodeBuild项目

除非我对事情有误解，否则CodeBuild中存在一个惊人的安全漏洞，因为添加的每个凭据都可用于帐户中的任何Codebuild项目？我需要为多个项目提供GitHub个人访问令牌，而无需跨项目交叉共享敏感信息。那不可能吗？

ImportSourceCredentials docs CreateProject docs

不推荐使用唯一的auth字段（OAUTH），在我的情况下OAuth对我没有用。

我当前的解决方法是在似乎适用于GH的URL中传递GitHub个人访问令牌。

解决方法

来自docs：“凭据是给定区域中给定帐户的全局凭据-不是每个CodeBuild项目都定义的。CodeBuild仅允许存储给定类型的单个凭据”

基本上，GH的CodeBuild几乎仅限于内部项目。我可以通过创建一个内部模块来解决我的问题（因此我从AWS CodeBuild面板连接了GitHub OAuth）并将此（nodejs）模块用作构建项目的基础。在我的buildspec中，我对实际上确实希望使用的存储库（使用内联个人访问令牌）运行yarn命令，以将其添加到我的项目中。然后，将模块导入我在第一个“内部”项目中定义的主条目文件中。

,

我使用AWS Secrets Manager解决此确切问题。这是一个片段：

- echo Getting GitHub token
- SSH_KEY_BASE64=$(aws secretsmanager get-secret-value --secret-id ${GITHUB_SSH_KEY} | jq --raw-output '.SecretString' | jq .key | xargs)
- echo $SSH_KEY_BASE64 > /tmp/ssh_key_base_64
- base64 -d /tmp/ssh_key_base_64 > ~/.ssh/id_rsa
- chmod 400 ~/.ssh/id_rsa
- eval $(ssh-agent)
- ssh-add ~/.ssh/id_rsa
- echo "  StrictHostKeyChecking no" >> ~/.ssh/config
- chmod 644 ~/.ssh/config