Workload-identiteit

Weg met het langlevende secret.

Workload-identiteit voor Kubernetes en CI zonder secrets: workloads ruilen het token dat hun platform al ondertekent in voor een kortlevend HelixIAM-token. Geen langlevende geheimen.

Plan een technische demo Vraag een sandbox aan

Wat je krijgt

Zonder secrets, via federatie

Vertrouw één keer een externe issuer. Kubernetes-serviceaccounttokens en CI-pipelinetokens worden gecontroleerd met de sleutels van die issuer.

Projected serviceaccounttokens van Kubernetes
CI-platforms die OIDC-tokens uitgeven
Niets opgeslagen in de pipeline

Gekoppeld aan echte rollen

Een gefedereerde workload is gekoppeld aan een applicatie, dus zijn token bevat precies de rollen van die applicatie.

Issuer, subject en audience moeten kloppen
Eén generieke fout bij elke afwijking
Kortlevende tokens

Moeilijker te hergebruiken

Combineer workload-identiteit met sender-constrained tokens en tokens met beperkte audience.

Sender-constrained tokens met DPoP
Tokens met beperkte audience via resource indicators
Beheerd in de console en via de admin-API

Eén uitwisseling, geen opgeslagen secret.

Een CI-job toont het token dat zijn platform heeft ondertekend en krijgt een kortlevend HelixIAM-token terug.

workload identity · JWT exchange200 OK

Verzoek · CI-job toont het token van zijn platform

POST /realms/acme/workload-identity/token
grant_type=urn:ietf:params:oauth:grant-type:token-exchange
subject_token=eyJ…  # signed by the CI platform

Uitgegeven token · gedecodeerd

{
  "sub": "service-account-deploy-pipeline",
  "realm_access": { "roles": ["deployer"] },
  "exp": 1798732800,
  "iss": "https://id.acme.example/realms/acme"
}

issVertrouwde issuer, subject en audience moeten kloppen, anders wordt het verzoek geweigerd.
expKortlevend, gekoppeld aan de rollen van één applicatie.
secretNiets op te slaan of te roteren in de pipeline.

Illustratieve waarden · workload identity federation

Zie workload-identiteit zonder secrets in je pipeline.

Vraag een sandbox aan of plan een technische demo.

Plan een technische demo Vraag een sandbox aan