Деплой на VPS по push без SSH-ключей в CI: архитектура cd, механика OIDC и границы применимости
habr.comВ практике системного администрирования малых и средних проектных контуров распространен сценарий, при котором на одном виртуальном выделенном сервере под управлением операционной системы Linux разворачивается несколько нетребовательных сервисов, таких как серверная часть приложений, бота или статические веб-страницы.
Инфраструктура хоста обычно включает Docker-демон и обратный прокси-сервер, представленный Caddy или Nginx. Стандартное требование к автоматизации процессов непрерывной интеграции и доставки заключается в выкатке новой версии сервиса на сервер при выполнении операции отправки изменений (git push) в основную ветку репозитория.Развертывание приложений на собственном VPS традиционно выполняется по одной из трех ключевых схем, каждая из которых имеет выраженные технические компромиссы и уязвимости:Прямой доступ из CI по протоколу SSH предполагает сохранение приватного ключа в настройках секретов репозитория.
