Rôle
Dans GitLab CI, OIDC permet d’obtenir une session STS temporaire au lieu de stocker une clé AWS longue durée. Une branche non autorisée a été rejetée par AccessDenied.
Utilisation observée
Le pipeline GitLab utilise OIDC puis AssumeRoleWithWebIdentity afin d’obtenir des identifiants temporaires. Une branche non autorisée a produit AccessDenied.
Enseignement
L’absence de clé longue durée dépend d’une relation de confiance précise : dépôt, branche protégée et audience. GitLab est le fournisseur externe d’identité, STS le service qui fournit la session AWS.