Was Sie tatsächlich löschen
Ein persönlicher Zugriffstoken (PAT) ist eine von mehreren Anmeldeinformationen, die in Ihrem GitHub-Konto agieren können. Bevor Sie etwas löschen, ist es hilfreich zu wissen, welche Art von Anmeldeinformation Sie vor sich haben, denn die Schritte zum Entfernen und die Nebenwirkungen unterscheiden sich.
| Anmeldeinformation | Was sie typischerweise tut | Wo sie verwaltet wird | Was das Löschen betrifft |
|---|---|---|---|
| Persönlicher Zugriffstoken (feingranular oder klassisch) | Ermöglicht Skripten, Tools oder CI, in Ihrem Namen mit eingeschränkten Berechtigungen zu agieren | Einstellungen → Entwicklereinstellungen → Persönliche Zugriffstoken | Alles, was den Token noch verwendet, sowie jeden Deploy-Schlüssel, den der Token erstellt hat |
| OAuth-Autorisierung | Eine Drittanbieter-App, die Sie genehmigt haben, in Ihrem Konto zu agieren | Einstellungen → Anwendungen (autorisierte OAuth-Apps) | Der Zugriff dieser App; die App selbst wird nicht gelöscht |
| SSH-Kontoschlüssel | Authentifiziert Git-Operationen über SSH für Ihr Konto | Einstellungen → SSH- und GPG-Schlüssel | SSH-Zugriff, der auf diesem Schlüssel basiert |
| Browsersitzung | Eine aktive angemeldete Sitzung in einem Browser | Abmelde-Steuerung und Sitzungseinstellungen | Nur diese Sitzung; sie ist kein Token und kein Schlüssel |
Dieser Artikel behandelt die erste Zeile. Die anderen Zeilen sind aufgeführt, damit Sie nicht eines mit dem anderen verwechseln: Das Entfernen einer OAuth-Autorisierung oder eines SSH-Schlüssels löscht keinen persönlichen Zugriffstoken, und das Löschen eines Tokens widerruft keine SSH-Schlüssel und beendet keine Browsersitzungen.
Schritt 1: Erstellen Sie ein Token-Inventar, ohne Werte preiszugeben
Das Ziel ist eine Liste von Token-Namen und wo jeder verwendet wird – nicht eine Liste von Token-Zeichenfolgen. Behandeln Sie den Token-Wert als Geheimnis, das Sie niemals in Notizen, Tickets oder Chats kopieren.
- Öffnen Sie Ihre GitHub-Kontoeinstellungen und gehen Sie zu Entwicklereinstellungen, dann Persönliche Zugriffstoken. Prüfen Sie sowohl Feingranulare Token als auch Token (klassisch), da die beiden Typen getrennt aufgeführt sind.
- Notieren Sie für jeden Token nur: den Token-Namen, seinen Typ (feingranular oder klassisch) und alle Hinweise, die GitHub zu Zweck oder Ablaufdatum anzeigt.
- Schreiben Sie für jeden Token auf, wo er Ihrer Meinung nach verwendet wird: ein CI-Job, ein Bereitstellungsskript, ein lokales Tool, eine geplante Aufgabe, eine Drittanbieter-Integration oder nirgends, woran Sie sich erinnern.
- Markieren Sie Token, die Sie nicht zuordnen können. Ein nicht zugeordneter Token ist ein Kandidat für eine Überprüfung, nicht für automatisches Löschen – etwas könnte noch davon abhängen.
Eine einfache Arbeitstabelle reicht aus:
| Token-Name | Typ | Bekannter Nutzer | Letzte bekannte Verwendung | Entscheidung |
|---|---|---|---|---|
| example-deploy | Feingranular | CI-Deploy-Job | Unbekannt | Job vor dem Löschen prüfen |
| example-old-script | Klassisch | Keiner gefunden | Alt | Prüfen, dann löschen |
Fügen Sie keine Token-Werte in diese Tabelle ein. Wenn ein Nutzer den Token speichert, prüfen Sie die eigene Konfiguration dieses Systems, anstatt das Geheimnis erneut zu lesen.
Schritt 2: Prüfen Sie abhängige Automatisierung vor dem Entfernen
Das Löschen eines Tokens bricht alles, was sich noch damit authentifiziert. Bevor Sie löschen, bestätigen Sie jeden bekannten Nutzer:
- Durchsuchen Sie Ihre CI-Konfiguration, Bereitstellungsskripte und geplanten Aufgaben nach Verweisen auf den Token-Namen oder den Eintrag im Secret-Speicher, der ihn enthält.
- Prüfen Sie, ob die Berechtigungen des Tokens zu dem passen, was der Nutzer benötigt. Ein Token, das ungenutzt aussieht, kann die einzige funktionierende Anmeldeinformation für einen kleinen Job sein.
- Entscheiden Sie pro Token: behalten, durch eine engere Anmeldeinformation ersetzen oder löschen. Wenn Sie einen Nutzer nicht bestätigen können, halten Sie inne, anstatt zu raten.
GitHub dokumentiert eine spezifische Abhängigkeit, die zuerst geprüft werden sollte: Ein persönlicher Zugriffstoken, der einen Deploy-Schlüssel erstellt hat, ist mit diesem Deploy-Schlüssel verknüpft.
GitHub warnt, dass das Löschen eines persönlichen Zugriffstokens, das einen Deploy-Schlüssel erstellt hat, auch diesen Deploy-Schlüssel löscht. Quelle
Diese Warnung ist eng gefasst. Sie gilt für Deploy-Schlüssel, die von diesem Token erstellt wurden. Sie ist keine Aussage, dass das Löschen eines beliebigen Tokens jeden SSH-Schlüssel, jeden Deploy-Schlüssel oder jede Integration im Konto betrifft. Prüfen Sie die Historie des spezifischen Tokens und die Deploy-Schlüssel des Repositorys, anstatt eine breite Wirkung anzunehmen.
Schritt 3: Löschen Sie den Token
Wenn Sie bestätigt haben, dass ein Token sicher entfernt werden kann, ist GitHubs dokumentierter Pfad:
GitHubs Pfad zum Löschen eines persönlichen Zugriffstokens ist Einstellungen, Entwicklereinstellungen, Persönliche Zugriffstoken, dann Feingranulare Token oder Token (klassisch) und Löschen. Quelle
Überprüfen Sie nach dem Löschen das Ergebnis, anstatt anzunehmen, dass es funktioniert hat:
- Bestätigen Sie, dass der Token nicht mehr in der Liste für seinen Typ erscheint.
- Führen Sie die Automatisierung aus oder lösen Sie sie aus, die Sie als Nutzer identifiziert haben, und prüfen Sie, ob sie sich noch authentifiziert. Wenn sie fehlschlägt, haben Sie eine übersehene Abhängigkeit gefunden; stellen Sie den Zugriff mit einer neuen Anmeldeinformation wieder her, die Sie kontrollieren, anstatt den alten Wert wiederzuverwenden.
- Wenn der gelöschte Token einen Deploy-Schlüssel erstellt hatte, prüfen Sie die Deploy-Schlüssel des Repositorys, um zu bestätigen, dass die dokumentierte Entfernung erfolgt ist und kein anderer Schlüssel betroffen wurde.
Fehlerpfade, für die Sie planen sollten
| Situation | Was zu tun ist |
|---|---|
| Ein CI-Job schlägt nach dem Löschen fehl | Identifizieren Sie, welches Geheimnis er verwendet hat, bestätigen Sie den Eigentümer des Jobs und stellen Sie eine Ersatz-Anmeldeinformation über Ihren normalen Prozess aus |
| Sie können den Nutzer eines Tokens nicht finden | Löschen Sie nicht auf Verdacht; durchsuchen Sie zuerst Konfigurationsdateien und Secret-Speicher und behalten Sie den Token, bis Sie ihn bestätigen können |
| Ein Deploy-Schlüssel ist verschwunden | Dies ist die dokumentierte Folge, wenn der Token ihn erstellt hat; erstellen Sie den Schlüssel bewusst neu, wenn das Repository ihn noch benötigt |
| Sie sind unsicher, ob die Anmeldeinformation ein Token oder eine OAuth-App ist | Prüfen Sie den Einstellungsbereich, unter dem sie erscheint; die beiden werden getrennt verwaltet |
Was diese Checkliste nicht abdeckt
Dieser Leitfaden beschreibt nicht das Rotieren von Anmeldeinformationen, das Ausstellen neuer Token oder das Ändern von Berechtigungen – diese Schritte hängen von Ihrer eigenen Einrichtung und GitHubs aktueller Oberfläche ab, die Sie zum Zeitpunkt der Aktion bestätigen sollten. Er deckt auch nicht das Entfernen von OAuth-Autorisierungen, SSH-Kontoschlüsseln oder Browsersitzungen ab, außer dem Hinweis, dass sie getrennt sind. Das Löschen eines Tokens entfernt diese Anmeldeinformation; es beweist nicht für sich, dass alle Daten, die ein verbundener Dienst hält, gelöscht wurden.
Wo eine Benutzernamen-Suche passt – und wo nicht
Wenn Ihre Bereinigung Teil einer breiteren Überprüfung dessen ist, was unter einem Benutzernamen öffentlich sichtbar ist, ist TraceSeek eine separate App, die bekannte öffentliche Benutzernamen auf 3.000+ Plattformen prüft. Sie meldet öffentliche Übereinstimmungen, die Hinweise und kein Eigentumsnachweis sind, und sie kann sich nicht in Konten anmelden, Kontoeinstellungen ändern, Token löschen oder die wahre Identität einer Person überprüfen. Sie ist kein Werkzeug für den Zugriff auf private Konten oder die garantierte Entfernung von etwas. Für die Token-Aufgabe in diesem Artikel findet die Arbeit in Ihren GitHub-Einstellungen statt, nicht in einer Such-App.