GitHub Actions OIDC 배포 권한: `id-token: write` 다음에 반드시 좁혀야 할 신뢰 조건
테크
조회 2
GitHub Actions에서 OIDC를 쓰면 장기 클라우드 시크릿을 줄일 수 있습니다. 하지만 `id-token: write`만 추가하는 것은 권한 설계의 끝이 아닙니다. 저장소·브랜치·환경·대상 audience를 신뢰 정책에 함께 묶어야 배포 토큰의 범위를 예측할 수 있습니다.
OIDC 신뢰 경계 점검표
지금 확인할 것
✓ 워크플로의 `id-token: write` 권한을 실제 배포 job에만 부여하고, 필요한 `contents: read` 같은 최소 권한을 분리합니다.
✓ 클라우드 신뢰 정책에서 repository, branch 또는 protected environment, audience 조건을 명시해 예상 밖 실행이 토큰을 교환하지 못하게 합니다.
✓ 재사용 워크플로에는 호출자와 환경 보호 규칙을 함께 검토하고, 배포 전에는 claims를 관찰해 정책과 실제 값이 맞는지 확인합니다.
왜 이 순서가 중요한가
한 가지 신호만으로 다음 행동을 정하면 비용과 기회를 함께 놓칠 수 있습니다. 목표와 제약을 나눠 기록하고, 실행 뒤 결과를 확인한 다음 다음 세션 또는 다음 운영 판단으로 이어가세요.