اتحاد OIDC ومطالبات هوية ضيقة

permissions:
  contents: read
  id-token: write
steps:
  - name: Explain the boundary
    run: printf "%s\n" "identity permission is not target authorization"

لا يصادق المقطع غير القابل للتشغيل في أي جهة. يجب أن يثق المزود بالمطالبات المناسبة ويمنح قدرات ضيقة مستقلاً؛ لا ينشئ الحقل أياً من العلاقتين.

expected = {"issuer": "ci-issuer-lab", "audience": "parcel-provider-lab", "subject": "trusted-release-job"}
def matches(claims):
    return all(claims.get(k) == v for k, v in expected.items())
good = dict(expected)
bad = dict(expected, audience="other-consumer")
print(matches(good))
print(matches(bad))

True
False

الأسماء ليست روابط مُصدر أو جمهوراً أو صيغة موضوع فعلية. لا يوفر الحساب أمان رمز وليس مدققاً.