GCP与GitHub工作负载身份联邦属性映射配置问题

配置GCP仅认可特定组织、仓库、分支来源的OIDC令牌的核心逻辑，就是工作负载身份提供者属性映射 + IAM主体匹配的组合机制，两个问题的具体答案如下：

关于principalSet与attribute_mapping的对齐关系 #

你的理解完全正确，二者必须严格对应，匹配逻辑如下：

• attribute_mapping是GCP侧定义的OIDC令牌解析规则：收到外部签发的OIDC令牌后，GCP会按照这里配置的CEL表达式，从令牌的断言（assertion）字段中提取、拼接值，生成GCP可识别的身份属性。你贴的配置里"attribute.full" = "assertion.repository+assertion.ref"，就是自定义了一个名为full的属性，取值为GitHub OIDC令牌中repository（格式为组织名/仓库名）和ref（格式为refs/heads/分支名）两个原生字段的直接拼接值。
• IAM策略中principalSet://iam.googleapis.com/.../attribute.full/[属性值]的写法，是明确声明：只有自定义属性full的取值完全等于路径末尾指定值的联邦身份，才会被授予对应角色。这里引用的attribute.full，就是前面attribute_mapping中自定义的属性，不存在隐式生成的同名属性，属性名拼写错误、映射规则和预期匹配值不一致，都会直接导致授权失败。
• 你贴的配置中，校验逻辑就是：只有当请求令牌拼接出的full属性值，和${var.gh_repo}${var.gh_branch}完全一致时，才允许用这个令牌扮演GCP服务账号，本质就是把仓库、分支两个维度的限制，固化到了IAM授权规则里。

注意：这种无分隔符的拼接写法存在值碰撞风险，比如仓库foo/bar-baz的refs/heads/main分支，和仓库foo/bar的refs/heads/baz-main分支可能拼接出相同值，生产环境建议映射时增加固定分隔符，例如配置为assertion.repository + ":" + assertion.ref，IAM匹配时也拼接相同分隔符即可。

关于google.subject映射的作用与取值要求 #

google.subject是GCP工作负载身份联邦强制要求的必填映射项，不配置该字段根本无法成功创建身份池提供者，它的作用和取值规则如下：

1. 核心作用
   • 作为联邦身份的全局唯一标识，GCP的审计日志、访问日志中记录的外部调用主体，就是该字段的取值，用于请求溯源。
   • 支持单主体粒度授权：如果不需要按属性批量匹配，要给单个特定外部身份授权时，可以使用principal://iam.googleapis.com/.../subject/[属性值]格式的主体标识，直接绑定权限到单个身份。
2. 取值要求与配置位置
   • GitHub Actions签发的OIDC令牌中，assertion.sub是GitHub侧固定生成的字段，标准格式为repo:组织名/仓库名:ref:分支引用（例如repo:my-org/my-repo:ref:refs/heads/main），你不需要自定义该字段的生成规则。
   • 该字段的合法值校验规则不是在attribute_mapping中定义的，有两种可选配置位置：
     • 可以在工作负载身份池提供者的attribute_condition字段中编写CEL表达式，强制要求传入令牌的assertion.sub匹配指定规则（比如仅允许特定组织下的仓库），不满足规则的请求会在身份校验层直接被拒绝，不会进入IAM权限判定流程。
     • 可以在编写IAM策略时，直接使用principal://格式绑定固定的sub值，仅给指定单个身份授权。
   • 你贴的示例配置没有给google.subject增加额外校验规则，仅靠attribute.full做来源限制是完全合法的，attribute_condition属于可选配置，没有强制要求必须配置。

内容的提问来源于stack exchange，提问作者pkaramol