GitHub 앱에 대한 프라이빗 키 관리

GitHub Apps의 개인 키 정보

GitHub App를 만든 후에는 애플리케이션 자체로서 GitHub API에 요청하려면 비공개 키를 생성해야 합니다. 예를 들어 설치 액세스 토큰을 요청하기 위해 JWT(JSON Web Token) 정보에 서명하려면 프라이빗 키가 필요합니다. 자세한 내용은 GitHub 앱에 대한 JWT(JSON 웹 토큰) 생성을(를) 참조하세요.

앱에 대해 최대 25개 프라이빗 키를 만들 수 있습니다. 키가 손상되는 경우 가동 중지 시간 없이 키를 회전하려면 여러 개의 키를 사용해야 합니다. 애플리케이션에 25개 이상의 키가 있는 경우 더 많은 키를 만들려면 먼저 일부 키를 삭제해야 합니다.

프라이빗 키는 만료되지 않으며 대신 수동으로 해지해야 합니다. 프라이빗 키를 해지하거나 또는 삭제하는 방법에 대한 자세한 내용은 프라이빗 키 삭제를 참조하세요.

보안을 위해 GitHub Apps 프라이빗 키를 유지해야 합니다. 자세한 내용은프라이빗 키 저장 항목을 참조하세요.

프라이빗 키가 퍼블릭 키와 일치하는지 확인하려면 프라이빗 키 확인을 참조하세요.

프라이빗 키 생성

프라이빗 키를 생성하려면 다음을 수행합니다.

1. GitHub의 페이지 오른쪽 위 모서리에서 프로필 사진을 클릭합니다.

2. 계정 설정으로 이동합니다.

   • 개인 계정 소유한 앱의 경우 설정을 클릭합니다.
   • 조직이 소유한 앱의 경우:
     1. 사용자의 조직을 클릭합니다.
     2. 조직 오른쪽에서 설정을 클릭합니다.
   • 엔터프라이즈가 소유한 앱의 경우:
     1. 엔터프라이즈 설정을 클릭합니다.

3. GitHub App 설정으로 이동합니다.

   • 개인 계정 또는 조직이 소유한 앱의 경우:
     1. 왼쪽 사이드바에서 개발자 설정을 클릭하고 GitHub Apps 를 클릭합니다.
   • 엔터프라이즈가 소유한 앱의 경우:
     1. 왼쪽 사이드바의 설정을 클릭한 다음 GitHub Apps 을(를) 클릭합니다.

4. GitHub App 프라이빗 키를 생성하려는 옆에 있는 편집을 클릭합니다.

5. "프라이빗 키"에서 프라이빗 키 생성을 클릭합니다.

6. 컴퓨터에 다운로드된 PEM 형식의 프라이빗 키가 표시됩니다. GitHub 키의 공개 부분만 저장하므로 이 파일을 저장해야 합니다. 키를 안전하게 저장하는 방법에 대한 자세한 내용은 프라이빗 키 저장을 참조하세요.

프라이빗 키 확인

GitHub 는 SHA-256 해시 함수를 사용하여 각 프라이빗 및 공개 키 쌍에 대한 지문을 생성합니다. 프라이빗 키의 지문을 생성하고 표시된 지문과 비교하여 프라이빗 키가 저장된 GitHub 공개 키와 일치하는지 확인할 수 있습니다 GitHub.

프라이빗 키를 확인하려면 다음을 수행합니다.

1. 설정 페이지의 "Private keys" 섹션에서 회원님의 GitHub App에 대한 확인하려는 개인 키 및 공개 키 쌍의 지문을 찾으세요. 자세한 내용은 프라이빗 키 생성 항목을 참조하세요.

   

2. 다음 명령을 사용하여 프라이빗 키 지문(PEM)을 로컬로 생성합니다.

   openssl rsa -in PATH_TO_PEM_FILE -pubout -outform DER | openssl sha256 -binary | openssl base64
   

3. 로컬에서 생성된 지문의 결과를 GitHub에 표시된 지문과 비교하세요.

프라이빗 키 삭제

삭제하여 손실되거나 손상된 프라이빗 키를 제거할 수 있지만 기존 키를 삭제하려면 먼저 새 키를 다시 생성해야 합니다.

1. GitHub의 페이지 오른쪽 위 모서리에서 프로필 사진을 클릭합니다.

2. 계정 설정으로 이동합니다.

   • 개인 계정 소유한 앱의 경우 설정을 클릭합니다.
   • 조직이 소유한 앱의 경우:
     1. 사용자의 조직을 클릭합니다.
     2. 조직 오른쪽에서 설정을 클릭합니다.
   • 엔터프라이즈가 소유한 앱의 경우:
     1. 엔터프라이즈 설정을 클릭합니다.

3. 왼쪽 사이드바에서 Developer settings를 클릭합니다.

4. 왼쪽 사이드바에서 GitHub Apps 을 클릭합니다.

5. GitHub App 프라이빗 키를 삭제하려는 옆에 있는 편집을 클릭합니다.

6. "프라이빗 키"에서 삭제할 프라이빗 키의 오른쪽에 있는 삭제를 클릭합니다.

7. 메시지가 표시되면 삭제를 클릭하여 프라이빗 키를 삭제할지 확인합니다. GitHub App 키가 하나뿐인 경우 이전 키를 삭제하기 전에 새 키를 생성해야 합니다. 자세한 내용은 프라이빗 키 생성 항목을 참조하세요.

프라이빗 키 저장

프라이빗 키는 가장 중요한 단일 비밀입니다 GitHub App. 키 자격 증명 모음(예: Azure Key Vault)에 키를 저장하고 로그 전용으로 만드는 것이 좋습니다. 이렇게 하면 프라이빗 키를 잃어버리지 않을 수 있습니다. 개인 키가 키 보관소에 업로드되면, 해당 키는 그곳에서 절대 읽을 수 없습니다. 서명하는 데만 사용할 수 있으며 프라이빗 키에 대한 액세스는 인프라 규칙에 따라 결정됩니다.

또는 키를 환경 변수로 저장할 수 있습니다. 키를 키 보관소에 저장하는 것만큼 강력하지는 않습니다. 공격자가 환경에 액세스하는 경우 프라이빗 키를 읽고 영구 인증을 GitHub App받을 수 있습니다.

코드가 프라이빗 리포지토리에 저장된 경우에도 앱에서 프라이빗 키를 하드 코딩해서는 안 됩니다.

자세한 내용은 GitHub 앱을 만들기 위한 모범 사례을(를) 참조하세요.