Mengamankan Secrets & Kredensial di CI/CD: Tinggalkan Hardcoded Environment Variables

Tragedi Kebocoran Kunci Rahasia di Git

Ribuan API keys AWS dan token database bocor setiap minggunya di internet karena developer tanpa sengaja menyertakan file .env ke dalam commit publik GitHub.

Bahkan pada repository privat sekalipun, menyimpan kredensial statis jangka panjang (long-lived static credentials) adalah risiko keamanan besar jika salah satu akun developer berhasil dibobol.

Solusi Modern: OIDC (OpenID Connect) Cloud Federation

Dengan integrasi OIDC antara GitHub Actions dan cloud provider (AWS/GCP/Azure):

1. Runner GitHub Actions meminta token sesi OIDC jangka pendek yang hanya valid selama beberapa menit.
2. Cloud provider memvalidasi tanda tangan kriptografi token tersebut dan memberikan izin akses sementara via IAM Role.
3. Tidak ada lagi rahasia statis yang perlu disimpan di settings repository!

Jika runner selesai bekerja, kredensial tersebut otomatis hangus dan tidak dapat disalahgunakan oleh pihak ketiga.