O Que É OIDC Federation em CI/CD?
OIDC federation permite que um pipeline de CI prove sua identidade a um provedor de nuvem usando um token OpenID Connect assinado e de curta duração, em vez de credenciais estáticas armazenadas. O provedor de nuvem verifica o token contra condições de confiança (repositório, branch, environment) e emite credenciais temporárias e com escopo. Isso elimina por completo as chaves de nuvem de longa duração do CI.
Por que isso importa
Armazenar access keys estáticas de nuvem no CI é uma das principais causas de invasões: elas vazam, nunca expiram e têm privilégios excessivos. OIDC federation as substitui por credenciais efêmeras cunhadas por run e com escopo exatamente para o job que precisa delas, encolhendo drasticamente a superfície de ataque.
Conceitos relacionados
- Também chamada de workload identity federation
- Condições de confiança restringem quais workflows podem assumir uma role
- Implementa least privilege para o acesso de CI à nuvem
Guias relacionados
What Is Workload Identity?Workload identity gives a non-human workload, like a CI job or service, a verifiable identity used to obtain…
What Is the Principle of Least Privilege?Least privilege means granting every user, job, or token only the minimum permissions needed to do its task a…
What Is Secret Scanning?Secret scanning automatically searches code, history, and CI logs for exposed credentials like API keys, toke…