GitLab Secrets Manager로 CI/CD 시크릿 유출 막기

핵심 내용

• GitLab CI/CD 변수의 Masked 마스킹은 원본 문자열과 정확히 일치할 때만 가려져 base64 같은 변형 출력에는 취약
• CI/CD 변수는 기본적으로 모든 job에 주입되어 요청하지 않은 job에서도 시크릿 접근 위험 존재
• GitLab Secrets Manager는 OpenBao 기반으로, 명시적으로 요청한 job에만 시크릿을 전달하고 실행 후 폐기하는 방식
• 기존 그룹·프로젝트 권한과 감사 체계를 재사용해 별도 Vault 운영 부담을 줄이는 방향

주의할 점

• 마스킹은 보안 통제보다 우발적 노출 완화에 가까워 핵심 방어 수단으로 보긴 어려움
• 회전은 자동이 아니라 알림 중심이며, 단기 자격이나 클라우드 인증은 OIDC 같은 별도 수단과 병행 필요
• 현재 퍼블릭 베타 단계로 기능 변화 가능성이 있고, Premium·Ultimate 및 self-managed 운영 부담도 고려 필요

적용해볼 점

• CI/CD 시크릿을 변수에서 job 단위 요청 방식으로 전환하는 방향 검토
• 시크릿 범위를 환경·브랜치 기준으로 좁혀 침해 반경 축소
• 감사 추적과 회수 절차를 함께 정리해 유출 대응 가능성 강화