OIDC Subject - CI/CD用語集の定義

OIDC subjectとは、workflowのOIDCトークン内の「sub」クレームで、どのリポジトリ、branch、environmentがcloud認証情報を要求しているかを識別します。

OIDC subject とは、GitHubがworkflowに発行するOpenID Connectトークン内の sub クレームで、repoとコンテキストをエンコードします。例: repo:org/repo:ref:refs/heads/main や repo:org/repo:environment:prod。cloudのtrust policyはこれにマッチしてアクセスのスコープを絞ります。

信頼のスコープ設定

cloudのIAM trust policyは sub(およびaudience)を固定し、例えば自分のrepoの main branchや prod environmentだけがroleを引き受けられるようにするべきです。repo:org/* のような緩いマッチでは、どのbranchでも認証情報を生成できてしまいます。

関連ガイド