4.1Identité et accèsschéma 21

OIDC — un déploiement sans clé durable

Le CI échange son jeton OIDC contre des identifiants temporaires, puis appelle le service AWS.

Faire défiler le schéma →

OIDC — un déploiement sans clé durableLa chaîne CI demande un jeton OIDC, le présente à STS (AssumeRoleWithWebIdentity), qui lit la confiance du rôle CI et rend des identifiants temporaires, mis en avant ; l’émission est journalisée ; la chaîne appelle ensuite l’API AWS, appel attribué à la session dans le journal, pour une durée de session bornée ; en bas, l’anti-pattern à éviter : lire une clé durable dans le coffre du CI. OIDCfournisseur Chaîne CIjob CI STSjetons AWS Rôle CIconfiance API AWSservice cible JournalCloudTrail Coffre CIclé durable FÉDÉRATION D’IDENTITÉCONFIANCE ET JETONUSAGE ET TRACEANTI-PATTERN (À NE PAS FAIRE)1 · demande de jetonID token signé, audience AWS2 · AssumeRoleWithWebIdentity4 · identifiants temporairesjournalise l’émission fédérée5 · appel AWS signé (SigV4)appel attribué à la session6 · durée de session bornéeà éviter : lecture d’une clé durablesecret longue durée3 · lit la confiance du rôlecontraintes iss, aud, subLÉGENDEappelréponsetrace ou appel sans attenteidentifiants temporairesà éviter