如何在GitHub部署与OIDC场景中安全使用标签？

• 强制标签与受保护分支绑定
  修改GitHub规则集，要求v*标签必须直接从受保护的main分支创建，禁止从自定义分支打标签。同时添加校验规则，确保标签指向的提交哈希存在于main分支的提交历史中，从根源上杜绝恶意分支关联标签的可能。

• 拆分权限，引入审批机制
  把标签的创建权限拆成两步：维护者只能发起标签创建请求，标签正式生效需要额外的审批（比如组织安全团队审核，或多个维护者共同确认）。同时配置GitHub Actions，仅当标签通过审批后才触发OIDC登录流程，审批环节可以用GitHub环境保护规则或自定义状态检查实现。

• 收紧AWS OIDC角色的信任策略
  在IAM角色的信任策略里，除了校验ref:refs/tags/v*，再加几个限制条件：

  • 限定标签所属仓库必须是组织内的合规仓库
  • 要求标签指向的提交必须经过GPG签名，并且在策略中验证签名的合法身份
    示例IAM策略条件片段：

  {
    "Condition": {
      "StringEquals": {
        "token.actions.githubusercontent.com:sub": "repo:your-org/*:ref:refs/tags/v*",
        "token.actions.githubusercontent.com:repository_owner": "your-org"
      },
      "Bool": {
        "token.actions.githubusercontent.com:verified_commit": "true"
      }
    }
  }
  

• 锁定工作流代码的修改权限
  用GitHub规则集限制.github/workflows/目录下的文件只能由指定安全团队修改，禁止维护者私自改动部署相关的工作流。同时开启工作流权限最小化配置，默认只给工作流读取权限，仅在必要的部署步骤临时提升权限。

• 增强审计与监控

  • 开启GitHub仓库审计日志，实时监控标签创建、工作流触发的操作，一旦发现从非main分支创建的v*标签，立即触发告警。
  • 在AWS侧开启CloudTrail日志，监控OIDC角色的调用行为，对非部署相关的异常API操作及时告警。

内容的提问来源于stack exchange，提问作者nopcorn