GCP Workload Identity Federation
cloudDéfinition
Mécanisme GCP permettant aux workloads externes (GitHub Actions, AWS, Azure AD) d'obtenir des tokens GCP temporaires sans gestion de clés de service, via échange de tokens OIDC/SAML.
Description
GCP Workload Identity Federation permet aux workloads externes (GitHub Actions, GitLab CI, AWS, Azure AD) d'obtenir des tokens d'accès GCP temporaires sans créer ni gérer de clés de compte de service JSON. Il repose sur l'échange de tokens OIDC ou SAML via un Identity Pool GCP.
Contexte cloud
Le flux : le workload externe présente son token OIDC natif (ex: token GitHub Actions OIDC) au Workload Identity Pool GCP, qui valide l'audience et les claims, puis échange ce token contre un token d'accès GCP avec les permissions du service account impersonné. Aucune clé JSON ne transite ni n'est stockée.
Points clés
- Configuration GitHub Actions :
gcloud iam workload-identity-pools providers create-oidc PROVIDER --issuer-uri=https://token.actions.githubusercontent.com --attribute-mapping=google.subject=assertion.sub - Restrictons d'attributs : limiter les tokens acceptés à un dépôt spécifique via
attribute.repository==projects/my-org/my-repo - Audit :
gcloud iam workload-identity-pools list --location=globalpour inventorier tous les pools et leurs providers actifs
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis