Workload Identity - CI/CD用語集の定義
workload identityは、実行中のworkload(CI job、pod、関数)に独自の検証可能なIDを与える広範なパターンで、埋め込まれた秘密情報なしで資格情報を取得できるようにします。GCP Workload Identity FederationとAzureのworkload identityが具体的な実装です。
service accountキーとの違い
静的なservice accountキーは、漏洩しうるうえにめったにローテーションされない秘密情報です。workload identityは実際のworkloadに紐づいた短命のトークンを発行するので、盗まれるような長命の資格情報が存在しません。
CIにおいて
GitHub ActionsのOIDCトークンはクラウドのworkload identityにフェデレートされ、deploy jobは実行中の間だけroleを引き受けます。
関連ガイド
OIDC Federation - CI/CD Glossary DefinitionOIDC Federation: OIDC federation lets a CI workflow exchange a short-lived OpenID Connect token for cloud cre…
Secret Rotation - CI/CD Glossary DefinitionSecret Rotation: Secret rotation is the practice of replacing credentials (tokens, keys, passwords) on a regu…
Least Privilege - CI/CD Glossary DefinitionLeast Privilege: Least privilege is the principle that an identity (user, service, or CI job) should hold onl…