OIDC Subject - Definição do Glossário de CI/CD

Um OIDC subject é a claim "sub" em um token OIDC de workflow que identifica qual repositório, branch ou environment está requisitando credenciais de cloud.

Um OIDC subject é a claim sub no token OpenID Connect que o GitHub emite para um workflow, codificando o repo e o contexto, por exemplo repo:org/repo:ref:refs/heads/main ou repo:org/repo:environment:prod. As trust policies de cloud fazem match nele para restringir o escopo do acesso.

Restringindo a confiança

Uma trust policy de IAM de cloud deve fixar o sub (e a audience) para que apenas, digamos, a branch main ou o environment prod do seu repo possa assumir o role. Um match frouxo como repo:org/* deixaria qualquer branch gerar credenciais.

Guias relacionados