GitHub Actions에 OIDC audience 제약이 필요한 이유

GitHub Actions의 OIDC audience 제약 필요성을 설명하는 기사입니다.

GitHub Actions의 id-token: write 기능은 작업이 임의의 audience로 OIDC 토큰을 발급할 수 있어 보안 취약점이 발생할 수 있습니다. 이에 대해 OIDC의 aud 클레임을 통해 토큰 수신 서비스를 제한하는 필요성을 다룹니다. 악성 코드가 다른 서비스로 권한을 확장하는 위험을 피하기 위한 제안이 제시됩니다.

The article discusses the necessity of OIDC audience constraints in GitHub Actions.

The article explains that the id-token: write feature in GitHub Actions allows jobs to issue OIDC tokens to arbitrary audiences, potentially exposing security vulnerabilities. It highlights the need for OIDC's aud claim to restrict the receiving services of tokens. Solutions are suggested to prevent malicious code from extending permissions to other services.