Federacao OIDC - Definicao do Glossario de CI/CD

A federacao OIDC permite que um workflow de CI troque um token OpenID Connect de curta duracao por credenciais de nuvem, para que uma relacao de confianca (nao um segredo armazenado) autorize o acesso. A nuvem verifica o emissor e as claims do token antes de conceder um role.

Por que ela remove segredos

Em vez de armazenar uma chave de nuvem de longa duracao nos secrets do CI, o provedor (por exemplo AWS IAM) confia no emissor OIDC do GitHub e concede um role apenas a tokens cujas claims sub e repository correspondam a uma condicao configurada. Nada estatico e armazenado.

Exemplo com AWS

- uses: aws-actions/configure-aws-credentials@v4
  with:
    role-to-assume: arn:aws:iam::123456789012:role/ci-deploy
    aws-region: us-east-1
permissions:
  id-token: write

Guias relacionados