| GitHub | id-token: write + 云厂商官方登录 action（role-to-assume 等），信任策略限定 repo/分支/环境 |
|---|---|
| GitLab | id_tokens 声明受众（aud），作业中用 OIDC 换取云令牌 |
| 价值 | 凭据短时、可条件化、无需轮换长期密钥 |
GitHub Actions 示例
GitHub Actions 示例
permissions:
id-token: write
contents: read
steps:
- uses: aws-actions/configure-aws-credentials@v4
with:
role-to-assume: arn:aws:iam::111122223333:role/ci-deploy
aws-region: cn-north-1信任策略必须收窄：不加条件的信任等同于对全网开放该角色。