| GCP | Workload Identity Federation：配置身份池与提供方，属性条件限制来源 |
|---|---|
| Azure | 联合凭据（federated credentials）绑定外部签发者与主体 |
| K8s 侧 | ServiceAccount 令牌投射 + 云侧信任（如 IRSA 模式） |
云侧要素
云侧要素
颁发者（issuer）
主体/属性映射（subject, repository, ref...）
条件（仅允许 main 分支或受保护环境）
目标角色与权限属性条件写细：把「谁能扮演什么角色」表达成可评审的配置。