FullStack Lab FullStack Lab

IT 리서치 노트 [GitHub Actions][OIDC] CI 배포 토큰을 OIDC로 바꿀 때 rollback 계획을 어디까지 남겨야 하나 GitHub Actions 배포를 long-lived token에서 OIDC로 바꾸면 보안은 좋아지지만, 전환 첫날 실패했을 때 어디까지 되돌려야 하는지가 더 중요해진다. 2026년 7월 4일 기준 GitHub 공식 문서를 다시 보면 OIDC는 job 단위 short-lived token을 받는 구조이고, 토큰 발급 조건과 id-token: write 권한, rerun 동작까지 함께 이해해야 전환이 안전해진다. 이 글은 CI 배포 토큰을 OIDC로 바꿀 때 rollback 계획을 어디까지 남겨야 하는지 정리한 것이다. 목차 개요 어디서 실제로 막..

IT 리서치 노트 [GitHub Actions][보안] GITHUB_TOKEN 권한과 OIDC를 workflow별로 줄이는 방법 GitHub Actions에서 가장 자주 과하게 열리는 권한은 `GITHUB_TOKEN`과 클라우드 배포용 비밀값이다. 읽기 전용으로 끝날 작업인데도 쓰기 권한과 장기 클라우드 키를 같이 넣는 경우가 많다. 현재 기준으로는 workflow마다 필요한 `permissions`를 최소로 선언하고, 클라우드 배포는 OIDC로 짧은 토큰을 받는 방식이 기본이다. 이 글은 읽기 workflow, 릴리즈 workflow, 배포 workflow를 분리하는 기준을 설명한다. 목차 개요어디서 막히는가실제로 해결하는 순서화면과 출력으로 확인하기주의할 점결론참고 링크 1. 개요 GitH..