| 前提 | permissions: id-token: write |
|---|---|
| 流程 | 请求 OIDC 令牌 → 云侧校验信任 → 换取短期凭据 |
| 信任条件 | 限定仓库、分支/环境 |
| 收益 | 无长期密钥、可审计、可收紧 |
换取云凭据
换取云凭据
permissions:
id-token: write
contents: read
steps:
- uses: aws-actions/configure-aws-credentials@v4
with:
role-to-assume: arn:aws:iam::123456789012:role/ci-deploy
aws-region: cn-north-1云侧信任策略不要用通配：把仓库与分支（必要时环境）写进条件，防止身份被其他仓库借用。