OIDCトークン - CI/CD用語集の定義

OIDCトークンは、workflowが一時的なクラウド認証情報と交換する署名付きで短命なJWTです。

OIDCトークンは、GitHub Actionsがworkflowに発行する署名付きで短命なJSON Web Tokenであり、静的なシークレットを保存せずに自身のアイデンティティを一時的なクラウド認証情報と交換できます。

OpenID Connectを使うと、workflowはリポジトリとrefに関するクレームをエンコードしたOIDCトークンを要求します。クラウドプロバイダーはGitHubを発行者として信頼し、スコープが限定された一時的な認証情報を返します。

なぜOIDCか

OIDCは長命なクラウドキーをシークレットから排除します。トークンは実行ごとに生成され、すぐに失効するため、漏洩する静的な認証情報がありません。これにはid-token: write権限が必要です。