OIDC في CI: قيّد الهوية التي تثق بها السحابة لا عمر الرمز فقط

الخلاصة

تتيح OIDC اعتمادًا مؤقتًا بدل سر طويل العمر في مسار مدعوم. يوضح تقرير Google بقاء مخاطر الرمز والبناء؛ المؤقت ليس بلا خطر.

اربط دور السحابة بالمستودع أو المهمة أو البيئة المقصودة وبالأفعال المطلوبة فقط.

طابق المهمة المقصودة

حدد المستودع والبيئة المحمية وافحص المطالبات الفعلية. لا تنسخ مثالًا واسعًا؛ رمز مهمة لا يفترض تفويض كل مشاريع المؤسسة.

احصر الدور

قد تحذف الاعتمادات المؤقتة أو تنشر إن سمحت السياسة. احصر المهمة والموارد واحمِ ملفات سير العمل وموافقاته حتى لا يُعدل الاستخدام داخل مهمة موثوقة.

اختبر واستجب

جرّب حالة مأذونة وأخرى عادية خارج النطاق واحفظ أحداث هوية بلا أسرار. عند اختراق المسار، راجع الثقة والسحابة؛ انتظار انتهاء رمز لا يصلح المهمة التي تصدر بديلًا.

ما الذي يمكنك فعله الآن؟

1. حدّد مصدر الهوية والدور الذي يقبلها.
2. راجع audience وشروط الهوية في وثائق المزودين.
3. قيّد الموارد واختبر رفض فرع أو مهمة غير مطلوبين.