disturbing/github-app-secret-refresher
disturbing
定期刷新GitHub App的Installation Access Token，解决Flux、BuildKite等工具不支持GitHub App认证的问题，提供每小时过期且权限范围受限的安全令牌，通过Kubernetes Job更新Secret供工具使用。
下载次数: 0状态：社区镜像维护者：disturbing仓库类型：镜像最近更新：4 年前
让 AI 帮你使用轩辕镜像？ · 展开查看说明 · 点击收起说明
如果你使用 DeepSeek、元宝 AI、Copilot、ChatGPT 等 AI 工具，协助配置轩辕镜像、编写 docker pull 命令、修改 Docker Compose 镜像地址、配置镜像加速、排查镜像拉取失败、分析报错日志等问题，请先让 AI 阅读并遵守轩辕镜像的规则文档。
只需在 AI 对话中先发送下面这句话即可：
请先完整阅读并严格遵守以下文档中的全部规则与要求：
https://xuanyuan.cloud/agents.md
在未充分阅读并理解该文档前，不要生成任何命令、配置、修改建议、故障排查方案或技术回答。后续所有输出都必须严格以该文档中的规范为最高优先级执行。查看 agents.md 用法指南与完整示范。国内用户首推 元宝 AI、DeepSeek 的深度思考模式，不推荐豆包 AI；Cursor 等编辑器可在对话 @ 该链接，或加入 User Rules。 若 AI 无法访问外链，可 打开说明文档 复制全文粘贴。文档会随站点更新，复制内容可能过期，建议定期检查。
GitHub App Secret Refresher 镜像文档
概述
在开发GitHub相关工具时，部分应用可能需要使用GitHub API或从GitHub代码库拉取代码进行认证。GitHub App的私钥无法直接访问代码或调用GitHub API，需要临时的https://docs.github.com/en/rest/reference/apps#create-an-installation-access-token-for-an-app%EF%BC%88%E6%AF%8F%E5%B0%8F%E6%97%B6%E8%BF%87%E6%9C%9F%EF%BC%89%E3%80%82
一些工具如https://fluxcd.io/docs/%E5%92%8Chttps://buildkite.com/%E4%B8%8D%E7%9B%B4%E6%8E%A5%E6%94%AF%E6%8C%81GitHub App认证，仅支持SSH密钥、部署令牌或个人访问令牌。本镜像可定期生成GitHub App Installation Access Token，确保这些工具随时能获取有效的令牌进行认证。
此外，GitHub App安装令牌可设置特定权限范围，包括限制访问的仓库和授予的权限。若使用令牌的服务被攻陷，该令牌（1）将在1小时内过期，（2）权限范围有限，相比组织级别的密钥更安全。
核心功能和特性
- 定期刷新令牌：自动生成并更新GitHub App Installation Access Token，确保令牌始终有效
- Kubernetes集成：以Kubernetes Job形式运行，定期更新所在命名空间的Kubernetes Secret
- 安全特性：令牌每小时自动过期，且可限制权限范围，降低安全风险
- 灵活配置：支持通过Helm参数自定义刷新频率、GitHub App信息等
使用场景和适用范围
适用于需要通过GitHub API或拉取GitHub代码库，且仅支持SSH密钥、部署令牌或个人访问令牌认证的工具和服务，例如：
- Flux（GitOps工具）
- BuildKite（CI/CD平台）
- 其他需要GitHub认证但不支持GitHub App的应用
使用方法和配置说明
安装
使用Helm v3在Kubernetes集群中安装，执行以下命令（替换尖括号中的值）：
shellhelm install -n <namespace> --name-template github-app-secret-refresher \ --set githubAppPrivateKeyBase64=<base-64-github-app-private-key> \ --set githubAppId=<app-id> \ --set githubAppInstallationId=<installation-id> \ --set jobSchedule="*/20 * * * *"
参数说明：
namespace：部署Job的Kubernetes命名空间githubAppPrivateKeyBase64：GitHub App私钥的Base64编码githubAppId：GitHub App的IDgithubAppInstallationId：GitHub App的安装IDjobSchedule：Cron调度表达式，定义令牌刷新频率（示例为每20分钟一次）
安装后，Job将每20分钟在指定命名空间创建并更新名为github-credentials的Secret。
清理
卸载Helm release：
shellhelm uninstall -n <namespace> github-app-secret-refresher
支持的处理器类型
目前支持Kubernetes Secret处理器，未来计划支持Webhook、AWS Secret Manager等更多类型。
Kubernetes Secret
定期在Job所在命名空间创建和更新Kubernetes Secret，结构如下：
Name: github-credentials Namespace: <namespace> Labels: <none> Annotations: <none> Type: Opaque Data ==== password: <installation-access-token>（56字节） username: <username>（20字节）
字段说明：
username：用于GitHub代码库认证的用户名password：GitHub App Installation Access Token，用于Git或GitHub API认证
镜像拉取方式
您可以使用以下命令拉取该镜像。请将 <标签> 替换为具体的标签版本。如需查看所有可用标签版本，请访问 标签列表页面。
轩辕镜像加速拉取命令点我查看更多 github-app-secret-refresher 镜像标签
docker pull docker.xuanyuan.run/disturbing/github-app-secret-refresher:<标签>
DockerHub 原生拉取命令
docker pull disturbing/github-app-secret-refresher:<标签>
镜像拉取常见问题
功能
错误码
用户好评
来自真实用户的反馈，见证轩辕镜像的优质服务
oldzhang
运维工程师
Linux服务器
5
"Docker访问体验非常流畅，大镜像也能快速完成下载。"