Dunia C3: Lancar & Deploy

OIDC: tiada kunci jangka panjang

Anda akan belajar: cara workflow dapat kunci cloud jangka pendek untuk satu job, bukan simpan kunci selama-lamanya.

Teks BM belum disemak oleh penutur asli.

Disemak dengan GitHub Actions 2026-10 pada 31 Okt 2026

Masalahnya

Ketik setiap titik pada garis masa.

Kunci yang tak pernah luput ialah kunci yang menunggu untuk bocor. Tekan kisahnya. Bagaimana kalau kunci hanya tahan untuk satu job?

Tengok

tukar kunci tersimpan dengan pas pelawat. Pas itu sah untuk satu job, kemudian cair. Susun langkahnya.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

Ia tunjuk token itu kepada cloud
Job minta ID token daripada GitHub
Cloud pinjamkan kunci jangka pendek
Cloud semak repo dan environment
Kunci luput bila job tamat

Cuba

Bina deploy OIDC ke AWS. Tiada kunci dalam secrets.

Tekan blok untuk tambah. Susun ikut urutan.

Blok

Workflow anda

Tekan satu blok di atas untuk mula.

Fail workflow .github/workflows/

name: Deploy to AWS

Apa yang berjalan

Belum ada apa untuk dijalankan.

Teka

Anda terlupa id-token: write. Apa jadi?

Semak

Cloud yang tentukan siapa dipercayai. Peraturan percaya ini bagus, atau perlu diperbaiki?

Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

1 / 4

Percaya repo you/shop sahaja, environment production.

Semak

Satu hal yang jujur: Wrangler Cloudflare masih perlukan token API dalam CI. Macam mana nak simpan?

Anda berjaya!

Kini anda boleh deploy ke cloud tanpa kunci tersimpan.

Nak tahu lebih (pilihan)

Cloud baca claim di dalam pas itu. Subject menamakan repo dan environment, contohnya repo:you/shop:environment:production. Repo yang dibuat selepas 15 Julai 2026 guna format baharu dengan id. Jadi salin peraturan tepat dari dokumentasi cloud anda.

Latihan sebenar (pilihan): ikut panduan GitHub OIDC cloud anda pada akaun ujian.