OIDC — un déploiement sans clé durable

Le CI échange son jeton OIDC contre des identifiants temporaires, puis appelle le service AWS.

OIDC — un déploiement sans clé durable Le CI échange son jeton OIDC contre des identifiants temporaires, puis appelle le service AWS. 1 · demande de jeton ID token signé, audience AWS 2 · AssumeRoleWithWebIdentity 3 · lit la confiance du rôle contraintes iss, aud, sub 4 · identifiants temporaires journalise l'émission fédérée 5 · appel AWS signé (SigV4) appel attribué à la session 6 · durée de session bornée à éviter : lecture d’une clé durable secret longue durée Fédération d'identité Confiance et jeton Usage et trace Anti-pattern (à ne pas faire) Chaîne CI · job CI · Participant de séquence Chaîne CI job CI OIDC · fournisseur · Participant de séquence OIDC fournisseur STS · jetons AWS · Participant de séquence STS jetons AWS Rôle CI · confiance · Participant de séquence Rôle CI confiance API AWS · service cible · Participant de séquence API AWS service cible Journal · CloudTrail · Participant de séquence Journal CloudTrail Coffre CI · clé durable · Participant de séquence Coffre CI clé durable Légende requête principale retour sécurité trace asynchrone