MARASAN: heh, u mě taky tak (1985, PMI-80 a Sinclair ZX-81)

QWWERTY: asi najdeš řešení anebo alespoň směr v příspěvcích z roku 2024 a novějších třeba tady

node.js - How to set npm credentials using `npm login` without reading from stdin? - Stack Overflow
https://stackoverflow.com/questions/23460980/how-to-set-npm-credentials-using-npm-login-without-reading-from-stdin

E2E4: npm to určitě umí, má na ty keychain věci i nějaké sdk

QWWERTY: neznám npm, ale myslím že ho nenávidím :)

přes environment proměnný to nějak nejde?

nebo mít dočasny vygenerovaný npmrc s credentialem z vaultu/keychainu a po použití ho smazat..

QWWERTY: neznám npm, ale myslím že ho nenávidím :)

přes environment proměnný to nějak nejde?

nebo mít dočasny vygenerovaný npmrc s credentialem z vaultu/keychainu a po použití ho smazat..

E2E4: ulozeni jsem si odpovedl jenom na docker.
ta tvoje zavorka je presne muj problem - podporuji tooly jako pip nebo npm ziskani auth credentials nejakym secret zpusobem?
vypada to, ze pip by mel keyring podporovat od 2019 taky - https://github.com/pypa/pip/issues/5948


MUXX: popravde nemam tuseni, jestli to co nam dali jako server ma sifrovany disk. afaik to nema ani backupy :D

uprime nevim co je spravna odpoved. spis me zajimalo, jestli a pripadne jak jste to resili u vas

QWWERTY: u build serveru to určitě nutný není. Pipeline tohle u nas dostává jen v Envy kterej se plní z password vaultu

QWWERTY: to uložení sis odpověděl sám, a "transmitted encrypted" řeší TLS..

(co se týče npm, nevím zda podporuje systémový keychain nebo na serveru něco jako hashicorp vault..)

QWWERTY: budete muset všechno předělat na secure autorizaci ;-)

dotaz na zkusenejsi - nase security s odkazem na standarty vyzaduje, aby autentizacni credentials nelezely v plaintextu na disku. to dava smysl, ne? zadny hesla v textaku na plose

ale situace - mame privatni repozitare (docker, pypi, npm, ...). uzivatel si musi vygenerovat access token, aby z nich mohl stahovat artefakty
`~/.pip/pip.conf`; `.docker/config.json`; `~/.npmrc` - aby tem toolum fungoval auth, vsechny si ukladaji pristupove credentials v plaintextu.

ofc,
- soubory maji standardni chmod 600, aby se omezily access prava. ale porad jsou to credentials v plaintextu
- jsou realizovany kroky, aby produkce obsahovala pouze funkcni artefakty a ne tyhle configy. (e.g. pouziti secrets pri docker build, ...)

ale jak muze byt libovolna z tehle technologii compliant at uz u developera nebo na build serveru?
viz napr.
ISO 27001:2022 A. 8.5 Secure authentication
Secure log on should be designed so it cannot be easily circumvented and that any authentication information is transmitted and stored encrypted to prevent interception and misuse.


(ano, minimalne docker ma support pro credentials store. a hned na te stejne strance posilaji heslo z textaku pres pipe na stdin :D )