Как безопасно автоматизировать TOTP MFA в CI/CD, не раскрывая учетные данные? ⇐ Javascript

[Anonymous]

Я успешно автоматизировал процесс входа в свое приложение с помощью Playwright. The app requires MFA (TOTP). В настоящее время я использую библиотеку otpauth для генерации 6-значных токенов, и она отлично работает в моей локальной среде.

Моя текущая настройка:

* Логика: у меня есть служебная функция, которая использует otpauth.TOTP для генерации кодов из секретного ключа.

* Локальное хранилище: мои учетные данные (APP_USER, APP_PASS) и M365_OTP_SECRET хранятся в локальный файл .env.

* Выполнение: я использую global-setup.js для однократной обработки входа в систему и сохранения состояния хранилища.

Проблема:

Сейчас я переношу это в конвейер CI/CD (GitHub Actions/Jenkins). Я хочу убедиться, что:

* Никаких учетных данных в репо: я не хочу фиксировать свою папку .env или жестко запрограммировать какие-либо секреты в репозитории.

* Синхронизация среды: меня беспокоят проблемы с синхронизацией TOTP или флаги «подозрительного входа» при работе в облаке в автономном режиме по сравнению с моим локальным браузером.

* Повторное использование сеанса: я хочу избежать запуска MFA при каждом запуске теста, чтобы предотвратить ограничение скорости.

Вопросы для сообщества:

* Секретная инъекция: как лучше всего передавать секретный ключ TOTP в среду выполнения Playwright? Является ли отображение их как переменных среды в инструменте CI (например, GitHub Secrets) наиболее безопасным способом?

* Управление состоянием: где в CI следует хранить auth.json (storageState)? Должен ли он генерироваться заново при каждом запуске конвейера или кэшироваться как артефакт?

* Обход или автоматизация: лучше продолжать автоматизировать запись TOTP, как я, или мне следует изучить бэкдоры «только для тестирования» или обойти MFA для определенных диапазонов IP-адресов CI?

Среда:

* Версия драматурга: [Вставьте свою версию, например, 1.40]

* Инструмент CI: [например, GitHub Actions]

* Библиотека MFA: otpauth

Подсказка для вашего сообщения:

Когда вы публикуете это, включите фрагмент кода со своего снимка экрана (функцияgenerateTOTP), но удалите строку, где у вас есть || «ВАШ_СЕКРЕТ_ЗДЕСЬ». Это покажет сообществу, что вы уже думаете о безопасности, полагаясь только на Process.env.

Подробнее здесь: https://stackoverflow.com/questions/798 ... redentials