AWS federation comes to GitHub Actions

At the time of writing, this functionality exists but has yet to be announced or documented. It works, though! EDIT: Here is the functionality on the GitHub roadmap. GitHub Actions has new functionality that can vend OpenID Connect credentials to jobs running on the platform. This is very exciting for AWS account administrators as it means that CI/CD jobs no longer need any long-term secrets to be

[toyama0919]

access key発行しないでgithub actionsからawsにアクセスできる。eksのcontainerでも使うoidc+WEB_IDENTITY使うことでiam roleっぽい使い方ができると。

[kiririmode]

GitHub ActionsでcredentialなしにIAM Roleをassumeできる仕組み。ID ProviderとしてGitHubを指定する形。assume role policyを厳密にしないと、どのrepoからでもassumeできてしまう

[cocoasynn]

待望のやつきてた

[efcl]

GitHub Actionsに`ACTIONS_ID_TOKEN_REQUEST_TOKEN`などOpenID Connectのtokenがjobごとに発行されるので、OIDC identity providerをAWSとかGCP側に用意すれば、jobごとにcredentialを発行してAWSやGCPにGhActionからアクセスできる

[j-u]

ほほう

[h3poteto]

え、これはまじで最高じゃないか

[sasasin_net]

すごそう

[utsuidai]

これは素敵。アクセスキー管理を一つ減らせる！

[iwamot]

"This is very exciting for AWS account administrators as it means that CI/CD jobs no longer need any long-term secrets to be stored in GitHub."

[miya-jan]

GitHub Actionsにジョブ実行ごとにOpenID Connectのトークンが付与される仕組みが追加。これにより、例えばAWSでOIDC Identity Providerを登録してロールを許可すればクレデンシャルを直接GitHubに登録しなくてよくなる。