proto.lib

Keyless Deploy: CI xin OIDC token thay vì giữ khoá dài hạn

Runner CI không còn lưu access key tĩnh; nó xin một OIDC token định danh job, cloud STS xác minh chữ ký và đối chiếu điều kiện subject (repo/branch/environment) với trust policy trước khi phát credential ngắn hạn — sai điều kiện subject là lỗ hổng cho repo khác mạo danh.

SecurityTrung bình2026-08-28
Keyless Deploy: CI xin OIDC token thay vì giữ khoá dài hạn

Tags

#oidc#ci-cd#sts#keyless#short-lived-credentials#trust-policy#workload-identity

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Trusted Publishing: Xoá bỏ Long-lived Token khi Publish Package

Thay vì lưu API token dài hạn của maintainer trong CI — thứ đã bị đánh cắp trong hầu hết vụ compromise chuỗi cung ứng package — registry tin vào một identity token ngắn hạn do chính CI provider phát hành cho đúng repo và workflow, đồng thời ghi lại provenance của bản build kèm artefact.

#trusted-publishing#oidc#supply-chain#ci-cd
SecurityNâng cao

Poisoned Pipeline Execution (PPE)

CI là một hệ thống production nắm giữ credentials thật; một pull request từ fork kích hoạt workflow có quyền truy cập secrets cho phép kẻ tấn công chạy code tuỳ ý NHƯ CHÍNH pipeline của bạn, bằng cách sửa build script trong PR hoặc đầu độc build cache/artifact mà job tin cậy sau đó sẽ dùng lại.

#ci-cd#poisoned-pipeline#supply-chain#github-actions
SecurityTrung bình

Cổng bảo mật cho code do AI sinh ra trước khi merge

Code do AI sinh ra tăng tốc độ viết nhưng mang theo các lỗi lặp lại: query nối chuỗi, tắt xác thực TLS, secret hardcode, quyền IAM quá rộng; một pipeline kết hợp SAST, rule pattern riêng cho AI-code, và review người trước khi merge giúp bắt các lỗi này sớm.

#ai-generated-code#sast#code-review#secure-coding