Объяснение
CI проверяет интеграцию, CD управляет доставкой. Секреты не должны попадать в логи и артефакты сборки. Проверка pull request с недоверенным кодом требует ограниченных прав.
Задача для самостоятельного решения
Нужно ли выдавать production credentials тестам внешнего PR?
Показать разбор ответа
Нет: код теста способен прочитать окружение. Разделяйте проверку и доверенный этап deployment с минимальными разрешениями.