Un segreto con ambito limitato all'ambiente è un valore sensibile, come un token, una chiave API o una credenziale di distribuzione, reso disponibile solo ai processi automatizzati destinati a un ambiente specifico, come staging o produzione. L'accesso può inoltre richiedere l'approvazione di revisori per una distribuzione. Ciò limita i flussi di lavoro che possono usare il segreto e aggiunge un controllo prima che venga esposto a un processo.
Nei sistemi CI/CD, i segreti con ambito limitato all'ambiente aiutano a ridurre l'impatto di automazioni compromesse o malevole, ma non garantiscono la sicurezza. Un flusso di lavoro autorizzato a distribuire in quell'ambiente potrebbe essere in grado di accedere ai relativi segreti. I difensori dovrebbero limitare chi può modificare i flussi di lavoro e le regole degli ambienti, richiedere approvazioni per gli ambienti sensibili, esaminare le autorizzazioni dei processi e i log di esecuzione e ruotare le credenziali se un processo potrebbe averle esposte.