Los pipelines reciben solo los secretos que concedes
Un token de servicio se crea en tu navegador y se muestra una sola vez; el servidor solo guarda sus claves públicas. Concédele los entornos que necesita un pipeline y añade una vinculación OIDC para que solo funcione dentro del repositorio y la rama correctos.
- Los tokens leen solo lo que concedes
- Vinculación OIDC para GitHub, GitLab y Bitbucket
- Production puede quedarse totalmente fuera de la CI
Un token que no abre más de lo que le diste
Un token crunu_svc_ se genera por completo en el navegador del administrador y se muestra una sola vez. Lee solo los entornos que le concedes: un token para development nunca recibe la clave de production.
- Concesión, usos y redesAsigna a un token una concesión, un límite de entre 1 y 1 000 000 usos y las redes desde las que puede conectarse.
- Vinculado a tu repositorioCon una vinculación OIDC, el token solo funciona junto con el token de tu proveedor de CI para el repositorio, la rama y el entorno de despliegue que elegiste. Un token del proveedor reutilizado se rechaza.
- Cada uso queda registradoLos inicios de sesión y los rechazos de los tokens aparecen en el registro de auditoría, y un token de CI reutilizado genera una alerta.
Tres líneas en el pipeline
Guarda el token en las variables secretas de tu CI como CRUNU_TOKEN, instala una versión fijada de crunu y ejecuta el paso a través de crunu run. Las variables se descifran en memoria y no se escribe nada en el disco.
- Instalación fijada y verificadaLa app muestra el comando de instalación con las sumas de verificación exactas del manifiesto de versión firmado.
- Integraciones listas para usarUna GitHub Action, una plantilla de GitLab y un pipe de Bitbucket instalan una versión fijada y comprueban su SHA-256.
- Los códigos de salida se transmiten
crunu rundevuelve el código de salida del programa que ejecutó, así que una prueba que falla sigue haciendo fallar el paso.
Qué puede comprobar cada sistema de CI
El agente encuentra por sí solo el token del proveedor de CI en GitHub Actions, GitLab CI y Bitbucket Pipelines. Cualquier otra CI funciona con un token guardado en sus secretos.
| Sistema de CI | La vinculación OIDC comprueba | Integración |
|---|---|---|
| GitHub Actions | Repositorio, ref, entorno de despliegue | Action setup-crunu, copiada en tu repositorio |
| GitLab CI | Ruta del proyecto, ref, tipo de ref, entorno de despliegue | Plantillas .crunu y .crunu-oidc |
| Bitbucket Pipelines | Repositorio, rama, entorno de despliegue | Un pipe de crunu run, con una imagen que construyes tú |
| Cualquier proveedor OIDC | Cualquier emisor, claves mediante OIDC Discovery | Token y crunu run |
| Cualquier CI sin OIDC | Solo el token | Token y crunu run |
Deja production fuera del pipeline
La configuración recomendada nunca hace pasar los secretos de production por la CI. El agente se ejecuta en la máquina de producción y el pipeline solo reinicia el servicio.
- La máquina obtiene lo suyoEl servidor de producción se inscribe como máquina y recibe su entorno directamente.
- La CI solo reiniciaEl paso de despliegue reinicia el servicio;
crunu run --restart on-changetambién lo reinicia cuando cambian los valores. - Cuando la CI tiene que tocar productionUsa un token de producción aparte, con vinculación OIDC y aprobado por un propietario, con cada entrega en el registro de auditoría.
Qué saber antes de conectarlo
Los tokens mantienen production fuera de alcance. Algunas partes de la CI siguen siendo recetas, no botones.
- Las integraciones no están en los marketplacesCopia la GitHub Action en tu repositorio, y construye y publica tú mismo la imagen del pipe de Bitbucket.
- Sin sincronización integrada con plataformasNinguna integración envía valores a Vercel, Cloudflare, AWS Secrets Manager o GitHub Secrets. La forma documentada es una receta con crunu run.
- El paso lee lo que recibeTodo lo que se ejecuta dentro del trabajo ve las variables que recibe. Concede el conjunto de entornos más pequeño posible.
- Vincula los tokens de producciónUn token sin vinculación OIDC funciona desde cualquier dirección permitida hasta que se revoca o alcanza el fin de su concesión o su límite de usos.
Respuestas a preguntas frecuentes
¿Algo más? Escríbenos a support@crunu.com
Si se filtra un token, ¿puede leer production?
No, salvo que le hayas concedido production. Un token de development nunca recibe la clave de production. Con una vinculación OIDC, un token filtrado no funciona en absoluto sin el token de tu proveedor de CI para el repositorio y la rama correctos.
¿Necesito OIDC?
No. Cualquier CI puede usar un token de servicio guardado en sus secretos. OIDC añade una segunda comprobación que ata el token a tu repositorio y tu rama.
¿Dónde se guarda el token?
En las variables secretas de tu CI. El servidor solo guarda las claves públicas del token, y por eso se muestra una sola vez y no se puede recuperar.
¿Se puede usar un token solo unas pocas veces?
Sí. Fija un límite de entre 1 y 1 000 000 usos, además de una concesión y las redes permitidas.
¿Puede Crunu enviar variables a Vercel o Cloudflare?
No con una sincronización integrada. Puedes hacerlo desde un paso del pipeline con crunu run y el propio comando de la plataforma, usando un token vinculado por OIDC.
Saca los secretos de producción de tu pipeline
Crea un token para un entorno de staging y ejecuta tus pruebas con crunu run.