GCP Workload Identity Federation

Définition

GCP Workload Identity Federation est un mécanisme de Google Cloud Platform qui permet à des charges de travail hébergées en dehors de GCP, pipelines CI/CD comme GitHub Actions ou GitLab CI, workloads exécutés sur AWS ou Azure, d'obtenir des credentials GCP temporaires et limités dans le temps sans jamais nécessiter la création, la distribution ni la gestion de clés de compte de service statiques, une pratique historiquement risquée puisque ces clés, une fois générées et téléchargées, constituaient des secrets longue durée souvent mal protégés et rarement révoqués même après leur usage prévu. Le mécanisme repose sur un échange de tokens fondé sur des protocoles d'identité fédérée standardisés, OpenID Connect ou SAML : la charge de travail externe présente un token d'identité déjà émis par son propre fournisseur d'identité de confiance, par exemple le token OIDC signé automatiquement fourni par GitHub Actions à chaque exécution de workflow, que GCP vérifie et échange contre un token d'accès GCP de courte durée, limité par une politique de correspondance (attribute mapping et condition) précisant exactement quelles identités externes sont autorisées et avec quelles permissions. Cette approche élimine structurellement le risque de fuite de clé de service statique dans un dépôt de code ou un journal de build, une des causes les plus fréquentes de compromission de compte cloud documentées récemment.