开源项目
GitHub Actions OIDC 与跨云临时凭证最小权限（2025）
# GitHub Actions OIDC 与跨云临时凭证最小权限（2025）
## 一、联邦与信任建立
- OIDC Provider：在云账户配置 GitHub OIDC 信任；限制受众与仓库。
- 策略：以 `AssumeRole`/Federation 颁发短期令牌；限定权限与时效。
## 二、最小权限与门禁
- 策略模板：只授予需要的 API 与资源访问；分环境细分角色。
- 门禁：
Go Prometheus Exporter 快速接入 metrics 实战
在 Go 服务中引入 Prometheus Exporter，提供 /metrics 端点与示例计数器，快速集成监控。
GitHub Actions可复用工作流与环境矩阵实践
通过可复用工作流与环境矩阵提升CI/CD效率，提供可验证的YAML配置与执行日志检查方法。
GitHub Actions环境保护与并发队列治理（environment-approval-concurrency）最佳实践
使用环境保护与并发队列治理工作流的部署窗口与排他性，避免并发冲突与未审批部署风险。
GitHub Actions复用Workflow与Composite Actions治理
通过复用工作流与组合动作提升流水线复用与维护性，规范版本、权限与输入输出治理。
GitHub Actions动作版本治理（uses@sha-pin-权限）最佳实践
通过 `uses@<sha>` 固定动作版本与权限最小化策略，阻断漂移与投毒风险，并记录审计信息以提升流水线安全。
GitHub Actions OIDC 与 AWS ECR 无密钥推送实践
使用 OIDC 在 GitHub Actions 中无密钥获取 AWS 凭证，登录 ECR 并推送镜像，提升安全性与可维护性。
GitHub Actions OIDC联邦云部署：临时凭证与权限最小化
通过 OIDC 联邦在云端签发短期凭证，替代长期密钥，构建最小权限与可审计的部署流程。
Cargo crates供应链治理（Cargo.lock-Checksum-来源）最佳实践
校验 Cargo.lock 条目与来源白名单、校验和一致性，确保 Rust crates 依赖的完整性与可追溯。
NVIDIA CUDA Toolkit 12.5 版本要点：兼容性与库更新
总结 CUDA 12.5 的发布要点，包括驱动兼容策略、安装定制与数学函数精度说明，以及库层更新与弃用提示。
GitHub Actions OIDC身份联合到云：短期凭证与安全发布
在 CI/CD 中使用 OIDC 身份联合获取短期云凭证，替代长期密钥，提升发布安全与可审计性。
Kubernetes ServiceAccount令牌投射与安全治理
---
title: Kubernetes ServiceAccount令牌投射与安全治理
keywords:
- ServiceAccount
- 令牌投射
- Projected Token
- Audience
- TTL
description: 使用投射令牌与受众/TTL控制，在 Pod 内提供短期与特定受众的访问令牌，提升安全与最小权限。
categories:
- 文章资讯
...
GitHub Actions可复用工作流与Monorepo CI实践
在 Monorepo 中使用可复用工作流与矩阵并行实现高效CI，结合缓存与Artifact、条件触发与环境保护，提供验证与监控方法。
GitHub Dependency Review门禁治理（严重级别-阻断-例外）最佳实践
基于依赖审查报告的严重级别设定门禁策略，阻断高风险变更并支持到期例外与审计记录。
