OIDC Federation - CI/CD用語集の定義

OIDC federationは、CI workflowが短命のOpenID Connectトークンをクラウドの資格情報と交換できるようにします。これにより、保存された秘密情報ではなく信頼関係がアクセスを認可します。クラウドは、roleを付与する前にトークンの発行者とclaimを検証します。

秘密情報を排除する理由

長命のクラウドキーをCIのsecretsに保存する代わりに、プロバイダー(例えばAWS IAM)はGitHubのOIDC発行者を信頼し、subとrepositoryのclaimが設定された条件に一致するトークンにのみroleを付与します。静的なものは何も保存されません。

AWSの例

- uses: aws-actions/configure-aws-credentials@v4
  with:
    role-to-assume: arn:aws:iam::123456789012:role/ci-deploy
    aws-region: us-east-1
permissions:
  id-token: write

関連ガイド