18、Terraform 中管理秘密的最佳实践

Terraform 中管理秘密的最佳实践

1. 配置 GitHub Actions 以假定 IAM 角色

为了确保不会意外允许所有 GitHub 仓库对 AWS 账户进行身份验证，需要进行如下配置。首先定义允许的仓库和分支：

# Example:
# allowed_repos_branches = [
#   {
#     org    = "brikis98"
#     repo   = "terraform-up-and-running-code"
#     branch = "main"
#   }
# ]

接着在 GitHub Actions 中配置构建以假定 IAM 角色，具体步骤如下：
1. 在工作流顶部，为构建授予 id-token: write 权限：

permissions:
  id-token: write

2. 在运行 Terraform 之前添加一个构建步骤，使用 configure-aws-credentials 操作对 AWS 进行身份验证：

# Authenticate to AWS using OIDC
- uses: aws-actions/configure-aws-credentials@v1
  with:
    # Specify the IAM rol