boogy/aws-oidc-warden

AWS OIDC Warden

概述

AWS OIDC Warden是一款安全、轻量的Go服务，用于验证OIDC令牌（如GitHub Actions）并通过STS AssumeRole交换短期AWS凭证。它作为CI/CD工作流与AWS资源之间的可信中介，基于仓库、分支、执行者等可配置约束实现细粒度访问控制，无需存储长期凭证。

[!CAUTION] 并非所有OIDC声明都可信任。请参考https://github.com/PaloA***s/github-oidc-utils创建的工具和表格，获取完整的声明列表。 此服务允许您为仓库设置特定约束，之后才能从角色获取凭证。请根据Palo Alto Networks在上述仓库中提供的表格谨慎选择。

核心功能

• 多发行者支持：同时信任任意数量的OIDC发行者，原生支持GitHub Actions，可接入任意OIDC身份提供者。
• 强化令牌验证：严格算法白名单、密钥固定、SSRF安全的JWKS获取等安全措施。
• 委托验证模式：允许API Gateway或ALB验证签名，服务仍重新验证所有声明。
• 多部署选项：支持API Gateway、Lambda URLs、ALB及本地开发服务器。
• 细粒度访问控制：基于规范主体授权，应用正则表达式约束验证声明。
• 会话策略：通过内联或S3存储的策略文件限制AWS权限范围。
• 标签授权与跨账户：通过IAM角色标签实现授权，支持跨账户访问。
• 热配置重载：无需重新部署即可更新S3中的配置。
• 多架构支持：原生ARM64和AMD64构建，预构建镜像可用。

使用场景

1. GitHub Actions工作流：在CI/CD流程中安全获取AWS短期凭证，避免存储长期密钥。
2. 跨账户资源访问：通过标签授权实现多账户间的细粒度访问控制。
3. 安全自动化：为自动化工具提供受限的AWS访问权限，遵循最小权限原则。

配置说明

服务从环境变量（AOW_前缀）、本地文件或S3对象读取配置。最小示例：

yaml
issuers:
  - issuer: https://token.actions.githubusercontent.com
    provider: github
    audiences:
      - sts.amazonaws.com

cache:
  type: dynamodb
  ttl: 1h
  dynamodb_table: aws-oidc-warden-cache

role_mappings:
  - subject: "my-org/my-repo"
    roles:
      - arn:aws:iam::123456789012:role/github-actions-role
    conditions:
      branch: "refs/heads/main"

Docker部署示例

本地运行

bash
# 使用自定义配置启动容器
docker run -d -p 8080:8080 \
  -v ./config.yaml:/app/config.yaml \
  ***-ghcr.xuanyuan.run/boogy/aws-oidc-warden:latest \
  --config /app/config.yaml

验证请求

POST到http://localhost:8080/verify：

json
{
  "token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "role": "arn:aws:iam::123456789012:role/github-actions-role"
}

安全注意事项

• 使用特定主体模式，避免宽泛匹配（如.*）。
• 对敏感角色应用多重约束和会话策略。
• 遵循最小权限原则定义IAM角色，定期审查日志。
• 依赖声明前需确认验证保证。

许可证

本项目采用Apache License 2.0许可证。