Skip to main content

此版本的 GitHub Enterprise Server 已于以下日期停止服务 2024-03-26. 即使针对重大安全问题,也不会发布补丁。 为了获得更好的性能、更高的安全性和新功能,请升级到最新版本的 GitHub Enterprise。 如需升级帮助,请联系 GitHub Enterprise 支持

将 API 网关与 OIDC 配合使用

可以使用 OpenID Connect (OIDC) 令牌对工作流进行身份验证。

将 API 网关与 OIDC 配合使用

借助 GitHub Actions,可以使用 OpenID Connect (OIDC) 令牌对 GitHub Actions 之外的工作流进行身份验证。 例如,可以在专用网络的边缘运行 API 网关,该网关使用 OIDC 令牌对传入请求进行身份验证,然后代表专用网络中的工作流发出 API 请求。

下图概述了此解决方案的体系结构:

OIDC 网关体系结构示意图,该体系结构从 GitHub Actions 运行器开始,以专用网络的专用服务结尾。

重要的是,不仅要验证 OIDC 令牌来自 GitHub Actions,而且还要验证它专门来自你预期的工作流,以使其他 GitHub Actions 用户无法访问专用网络中的服务。 可以使用 OIDC 声明创建这些条件。 有关详细信息,请参阅“关于使用 OpenID Connect 进行安全强化”。

这种方法的主要缺点是,必须实现 API 网关来代表你发出请求,并在网络边缘运行网关。

具有以下优点。

  • 无需配置任何防火墙,也无需修改专用网络的路由。
  • API 网关是无状态的,可以水平缩放以处理高可用性和高吞吐量。

有关详细信息,请参阅 github/actions-oidc-gateway 存储库中的 API 网关的参考实现。 此实现需要对用例进行自定义,并且无法按原样随时运行。 有关详细信息,请参阅“关于使用 OpenID Connect 进行安全强化”。