属性映射在配置GCP和GITHUB之间的工作负载身份联合会时

Question

我试图围绕这个新主题缠住我的头，因为那里的示例仍然很少，并且文档相当晦涩。

我正在尝试逆向工程 this repo。

我想了解的是，我们通知GCP的方式认为，具有特定属性的OIDC令牌（即来自特定组织/repos/分支等）仅被接受为有效。

我注意到IAM策略为定义如下：

data "google_iam_policy" "wli_user_ghshr" {
  binding {
    role = "roles/iam.workloadIdentityUser"

    members = [
      "principalSet://iam.googleapis.com/projects/${data.google_project.project.number}/locations/global/workloadIdentityPools/gh-pool/attribute.full/${var.gh_repo}${var.gh_branch}",
    ]
  }
}

然后我看到身份池提供商也是声明像这样，

resource "google_iam_workload_identity_pool_provider" "provider" {
  provider                           = google-beta
  project                            = var.project_id
  workload_identity_pool_id          = google_iam_workload_identity_pool.gh_pool.workload_identity_pool_id
  workload_identity_pool_provider_id = "gh-provider"
  attribute_mapping                  = {
    "google.subject" = "assertion.sub"
    "attribute.full" = "assertion.repository+assertion.ref"
  }
  oidc {
    allowed_audiences = ["google-wlif"]
    issuer_uri        = "https://token.actions.githubusercontent.com"
  }
}

我的问题是：

IAM策略声明中的这一行是否

"principalSet://iam.googleapis.com/projects/${data.google_project.project.number}/locations/global/workloadIdentityPools/gh-pool/attribute.full/${var.gh_repo}${var.gh_branch}",

必须与身份池提供商的atibute_mapping中的属性映射对齐字段，即

  attribute_mapping                  = {
    "google.subject" = "assertion.sub"
    "attribute.full" = "assertion.repository+assertion.ref"
  }

是属性

"attribute.full" = "assertion.repository+assertion.ref"

。

attribute.full/${var.gh_repo}${var.gh_branch}"

IE

如果是这样，在attribute_mapping google.subject字段中，assertion.sub.sub的作用是什么？ ostertion.sub的价值是否必须是特定的东西？

如果是这样，这是在哪里说明 /反映的？

Answer 1

在“仅仓库”中的特定示例中，使用了attribute.full。因此，您可以只使用：

  attribute_mapping                  = {
    "google.subject" = "assertion.repository+assertion.ref"
  }

并将服务帐户的IAM策略更改为授予Workload Identity用户权限到身份：

principal://iam.googleapis.com/projects/${data.google_project.project.number}/locations/global/workloadIdentityPools/gh-pool/subject/${var.gh_repo}${var.gh_branch}

希望这有帮助，我还拥有第二个视频，可以在更多详细信息中解释这一点： https://youtu.be/fa9jhnag4sa