Секреты в CI: рабочий процесс и инфраструктура
Привязывает CI-задачи к ролям в облаке через OIDC, запрещает использование долгоживущих PAT в логах и артефактах, блокирует секреты для защищённых окружений и изолирует pull-запросы из форков от производственных учётных данных.