GCP - Federation Abuse
OIDC - Github Actions Abuse
GCP
Ili kutoa ufikiaji kwa Github Actions kutoka kwa repo ya Github kwa akaunti ya huduma ya GCP hatua zifuatazo zinahitajika:
Unda Akaunti ya Huduma ili kufikia kutoka kwa github actions na idhini zinazohitajika:
Tengeneza maktaba mpya ya utambulisho wa mzigo:
Tengeneza mto wa utambulisho wa kazi mpya OIDC ambao unatumia github actions (kwa jina la org/repo katika hali hii):
Hatimaye, ruhusu kiongozi kutoka kwa mtoa huduma kutumia kiongozi wa huduma:
Kumbuka jinsi katika mwanachama wa awali tunavyobainisha org-name/repo-name
kama masharti ya kuweza kufikia akaunti ya huduma (paramu nyingine zinazofanya iwe zaidi ya ukali kama tawi pia zinaweza kutumika).
Hata hivyo, inawezekana pia kuruhusu github yote kufikia akaunti ya huduma kwa kuunda mtoa huduma kama ifuatavyo kwa kutumia wildcard:
Katika kesi hii mtu yeyote anaweza kufikia akaunti ya huduma kutoka github actions, hivyo ni muhimu kila wakati kuangalia jinsi mwanachama anavyofafanuliwa. Inapaswa kuwa kila wakati kitu kama hiki:
attribute.{custom_attribute}
:principalSet://iam.googleapis.com/projects/{project}/locations/{location}/workloadIdentityPools/{pool}/attribute.{custom_attribute}/{value}
Github
Kumbuka kubadilisha ${providerId}
na ${saId}
kwa thamani zao husika:
Last updated