Identité des workloads
Une identité sans secret pour Kubernetes et la CI : les workloads échangent le jeton que leur plateforme signe déjà contre un jeton HelixIAM de courte durée. Aucun secret de longue durée.
Approuvez une fois un émetteur externe. Les jetons de compte de service Kubernetes et les jetons de pipeline CI sont vérifiés avec les clés de cet émetteur.
Un workload fédéré est lié à une application : son jeton porte exactement les rôles de cette application.
Combinez l'identité des workloads avec des jetons liés à l'expéditeur et à audience restreinte.
Un job CI présente le jeton signé par sa plateforme et reçoit un jeton HelixIAM de courte durée.
POST /realms/acme/workload-identity/token grant_type=urn:ietf:params:oauth:grant-type:token-exchange subject_token=eyJ… # signed by the CI platform
{
"sub": "service-account-deploy-pipeline",
"realm_access": { "roles": ["deployer"] },
"exp": 1798732800,
"iss": "https://id.acme.example/realms/acme"
}issL'émetteur de confiance, le sujet et l'audience doivent correspondre, sinon la requête est refusée.expCourte durée de vie, lié aux rôles d'une application.secretRien à stocker ni à faire tourner dans le pipeline.Demandez un environnement d'essai ou réservez une démo technique.