Например, делаешь в GHA билд, в нем референсишь секрет, секрет кладешь в настройки в GitHub.
А я ещё слышал у них появился докер регистри, наверное туда билдить докер имейдж? Я планировал осилить кубернетес и кубернетес ингресс, чтобы раскатать нормально сервисы на сервера, получается раскатывать надо уже с вбилженым секретным сертификатом?