Politica de Încredere OIDC GitHub Actions pentru AWS

Multe conturi AWS utilizează utilizatori IAM exclusiv pentru fluxurile de lucru GitHub Actions pentru a încărca imagini sau a implementa aplicații, bazându-se adesea pe chei de acces cu durată lungă stocate ca secrete de repository. GitHub Actions OIDC oferă o alternativă mai sigură prin înlocuirea acestor chei cu token-uri cu durată scurtă. Cu toate acestea, o problemă critică apare la configurarea politicii de încredere, care a devenit mai complexă din cauza schimbărilor în formatul identificatorului subiectului GitHub pentru repository-uri.

Provocarea tehnică principală constă în incapacitatea politicii de încredere de a recunoaște formate de subiect imuabile mai noi (de ex., `repo:example-org@1234567/api@456789`) comparativ cu formate mai vechi, bazate doar pe nume (de ex., `repo:example-org/api`). O politică de încredere proiectată doar pentru formatul mai vechi va respinge fluxurile de lucru care utilizează formatul mai nou, adesea cu mesaje de eroare criptice. Acest articol detaliază cum să proiectați o politică de încredere robustă care să acomodeze ambele formate, să ancoreze organizația prin ID-ul său numeric și să valideze împotriva tuturor repository-urilor pentru a preveni astfel de eșecuri.

Implicațiile pentru echipele de dezvoltare sunt semnificative, deoarece politicile de încredere incorect configurate pot opri pipeline-urile CI/CD și pot necesita retragerea cheilor de acces învechite. Abordarea recomandată implică crearea unei politici de încredere care acceptă ambele formate de subiect, utilizează ID-ul numeric al organizației pentru ancorare și este testată temeinic. Aceasta asigură o tranziție lină către OIDC, permițând retragerea graduală a cheilor de acces vulnerabile și îmbunătățind postura generală de securitate în medii AWS multi-cont.