Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-EBDFE608

7/23/2026, 5:55:12 PM

azure-cloud-migrate оценка безопасности v6

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
azure-cloud-migrate
Версия
v0.0.0-placeholder
Сопровождающий
microsoft
Источник
github.com/microsoft/github-copilot-for-azure/tree/main/plugin/skills/azure-cloud-migrate/
Охват
32 Просканировано файлов · 4,622 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Наивысшая серьёзность подтверждённого результата

Высокий

Подтверждённые проблемы безопасности (9) требуют внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most of the 400 presented findings are documentation false positives involving links, code fences, managed identity examples, and visible migration commands. Confirmed risks involve shared cloud keys, decoded secret transfer through CLI arguments, and local secret materialization. The 30 omitted static matches require manual review before publication. Static review was capped at 400/430 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

32 Просканировано файлов · 4,622 Проанализировано строк

23 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Обнаружено в 12 местах расположения доказательств

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 23 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 7 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 33 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 55 местах расположения доказательств

Пункты проверки возможностей (14)
Высокий
references/services/container-apps/spring-deployment-guide.md:103
Database connection strings
read -s -p "Enter database password: " DB_PASSWORD
The example asks for a database password and writes it into a temporary file for Key Vault import. Cleanup is present, but the flow still materializes secret data locally.
Высокий
references/services/container-apps/spring-deployment-guide.md:104
Database connection strings
echo -n "$DB_PASSWORD" > "$SECRET_FILE"
The example asks for a database password and writes it into a temporary file for Key Vault import. Cleanup is present, but the flow still materializes secret data locally.
Высокий
references/services/container-apps/cloudrun-deployment-guide.md:116
Shell command substitution
--value "$(gcloud secrets versions access latest --secret=<secret-id> --project="$GCP_PROJECT")"
The line recommends or uses command-line secret transfer through az keyvault secret set --value. That can expose decoded secret material through process arguments, logs, or shell history.
Высокий
references/services/container-apps/deployment-guide.md:91
Shell command substitution
az keyvault secret set --vault-name myapp-kv --name password --value "$(kubectl get secret mysecret
The line recommends or uses command-line secret transfer through az keyvault secret set --value. That can expose decoded secret material through process arguments, logs, or shell history.
Средний
references/services/container-apps/fargate-deployment-guide.md:144-146
Ruby/shell backtick execution
aws secretsmanager get-secret-value --secret-id <secret-id> --region <region> `
The command extracts live AWS Secrets Manager values during migration. The guide uses cleanup controls, but the secret is still materialized in the local execution environment.
Средний
references/services/container-apps/spring-deployment-guide.md:83-85
Ruby/shell backtick execution
--azure-file-account-name "$STORAGE_ACCOUNT" --azure-file-account-key "$STORAGE_KEY" `
The line passes a retrieved cloud key as a command argument. This is a legitimate deployment pattern, but it increases the chance of secret exposure in local process or logging surfaces.
Средний
references/services/container-apps/cloudrun-deployment-guide.md:55
Shell command substitution
LOG_KEY=$(az monitor log-analytics workspace get-shared-keys -g "$RG" -n "${RG}-logs" --query primar
The command retrieves cloud shared keys into shell variables. These keys are sensitive credentials and can be exposed through logs, history, or subsequent command arguments.
Средний
references/services/container-apps/deployment-guide.md:64
Shell command substitution
LOG_KEY=$(az monitor log-analytics workspace get-shared-keys --resource-group myapp-rg --workspace-n
The command retrieves cloud shared keys into shell variables. These keys are sensitive credentials and can be exposed through logs, history, or subsequent command arguments.
Средний
references/services/container-apps/fargate-deployment-guide.md:112
Shell command substitution
secret_file="$(mktemp)"
The temp file is created specifically for secret migration. Permissions and cleanup reduce exposure, but local secret materialization remains a security risk.
Средний
references/services/container-apps/spring-deployment-guide.md:12
Shell command substitution
LOG_KEY=$(az monitor log-analytics workspace get-shared-keys --resource-group spring-rg --workspace-
The command retrieves cloud shared keys into shell variables. These keys are sensitive credentials and can be exposed through logs, history, or subsequent command arguments.
Средний
references/services/container-apps/spring-deployment-guide.md:69
Shell command substitution
STORAGE_KEY=$(az storage account keys list --account-name "$STORAGE_ACCOUNT" --resource-group spring
The command retrieves cloud shared keys into shell variables. These keys are sensitive credentials and can be exposed through logs, history, or subsequent command arguments.
Средний
references/services/container-apps/spring-deployment-guide.md:101
Shell command substitution
SECRET_FILE=$(mktemp)
The temp file is created specifically for secret migration. Permissions and cleanup reduce exposure, but local secret materialization remains a security risk.
Средний
references/services/container-apps/fargate-deployment-guide.md:112
Temp file creation
secret_file="$(mktemp)"
The temp file is created specifically for secret migration. Permissions and cleanup reduce exposure, but local secret materialization remains a security risk.
Средний
references/services/container-apps/spring-deployment-guide.md:101
Temp file creation
SECRET_FILE=$(mktemp)
The temp file is created specifically for secret migration. Permissions and cleanup reduce exposure, but local secret materialization remains a security risk.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (9)

RISK-001 Высокий
references/services/container-apps/deployment-guide.md:82
System reconnaissance
> **Tip**: Prefer piping decoded secret values directly to `az keyvault secret set --value` to avoid
The line recommends or uses command-line secret transfer through az keyvault secret set --value. That can expose decoded secret material through process arguments, logs, or shell history.
RISK-002 Высокий
references/services/container-apps/deployment-guide.md:21-22
Kubernetes Secrets Exported Into Workspace
The guide exports deployments, services, ingress, ConfigMaps, and Secret objects to all-resources.yaml. Base64-encoded Kubernetes secrets can remain recoverable in the workspace.
The command explicitly includes Secret objects in a YAML export file. This directly materializes sensitive values during migration.
RISK-003 Высокий
references/services/container-apps/deployment-guide.md:89-91references/services/container-apps/deployment-guide.md:108-112references/services/container-apps/cloudrun-deployment-guide.md:114-116references/services/container-apps/cloudrun-deployment-guide.md:135-137
Decoded Secrets Passed Through CLI Arguments
Several examples pass decoded secrets to az keyvault secret set with --value. Process listings, command logging, terminal history, or shell history may expose them.
The cited examples retrieve decoded secret values and pass them as CLI arguments. The exposure risk is direct despite legitimate migration intent.
RISK-004 Средний
references/services/container-apps/cloudrun-deployment-guide.md:57
System reconnaissance
--logs-workspace-id "$LOG_ID" --logs-workspace-key "$LOG_KEY"
The line passes a retrieved cloud key as a command argument. This is a legitimate deployment pattern, but it increases the chance of secret exposure in local process or logging surfaces.
RISK-005 Средний
references/services/container-apps/cloudrun-deployment-guide.md:68
System reconnaissance
--logs-workspace-id $workspace.customerId --logs-workspace-key $keys.primarySharedKey
The line passes a retrieved cloud key as a command argument. This is a legitimate deployment pattern, but it increases the chance of secret exposure in local process or logging surfaces.
RISK-006 Средний
references/services/container-apps/cloudrun-deployment-guide.md:81
System reconnaissance
--logs-workspace-id "$LOG_ID" --logs-workspace-key "$LOG_KEY" \
The line passes a retrieved cloud key as a command argument. This is a legitimate deployment pattern, but it increases the chance of secret exposure in local process or logging surfaces.
RISK-007 Средний
references/services/container-apps/cloudrun-deployment-guide.md:92
System reconnaissance
--logs-workspace-id $workspace.customerId --logs-workspace-key $keys.primarySharedKey `
The line passes a retrieved cloud key as a command argument. This is a legitimate deployment pattern, but it increases the chance of secret exposure in local process or logging surfaces.
RISK-008 Средний
references/services/container-apps/fargate-deployment-guide.md:114
System reconnaissance
aws secretsmanager get-secret-value --secret-id <secret-id> --region <region> \
The command extracts live AWS Secrets Manager values during migration. The guide uses cleanup controls, but the secret is still materialized in the local execution environment.
RISK-009 Средний
references/services/container-apps/fargate-deployment-guide.md:144
System reconnaissance
aws secretsmanager get-secret-value --secret-id <secret-id> --region <region> `
The command extracts live AWS Secrets Manager values during migration. The guide uses cleanup controls, but the secret is still materialized in the local execution environment.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    Decoded secrets are passed through az keyvault secret set --value in Kubernetes and Cloud Run migration examples.
    Use protected file input, stdin-safe tooling, or a manual step that avoids process arguments and shell history.
  2. FIX-002
    Высокий
    Kubernetes exports include Secret objects in local YAML output.
    Exclude Secret objects by default, or export redacted metadata unless the user explicitly approves secret migration.
  3. FIX-003
    Средний
    Static review capped
    Manually review the omitted 30 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  4. FIX-004
    Средний
    Some deployment examples retrieve Log Analytics or storage account shared keys into shell variables.
    Prefer identity-based Azure Monitor and storage patterns. Mark shared-key fallbacks as sensitive manual operations.
  5. FIX-005
    Средний
    Temporary files store secrets during import flows.
    Keep restrictive permissions and cleanup. Warn users against running these steps in shared, recorded, or synchronized workspaces.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006
Хеш содержимого
6749b6cbca0ddd1f7ac831b23d825d0a4437af755fd7068f8723621a68449488
Хеш дерева
fd334b4c8f2a88f6fd96bd57d60c5050e6e4b5802427229796f709bdc97fec3d
Путь Skill
skills/microsoft/azure-cloud-migrate
Хеш данных аудита
dc2be770107a847125474a59f8202521

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active