https://blog.igeight.net/tags/oidc/Recent content in Oidc on igeight blogHugojaSun, 25 Oct 2026 00:00:00 +0900https://blog.igeight.net/posts/2026-10-25-github-actions-oidc/Sun, 25 Oct 2026 00:00:00 +0900https://blog.igeight.net/posts/2026-10-25-github-actions-oidc/<p>GitHub Actions から AWS を操作したいとき、IAM ユーザーのアクセスキーを GitHub Secrets に入れていませんか。 <strong>OIDC</strong> を使うと、長期のキーを一切持たずに、実行のたびに短命の認証情報を受け取れます。</p> <p>この記事では、次の順で整理します。</p> <ol> <li>OIDC とは何か</li> <li>GitHub Actions と AWS はどうつながるのか</li> <li>自分の環境で試せる、最小限のテスト(所要時間は 15 分ほど)</li> <li>OIDC が使われるほかの場面</li> </ol> <h2 id="oidc-とは">OIDC とは</h2> <p><strong>OIDC(OpenID Connect)</strong> は、「ある主体が誰なのか」を、信頼できる第三者が <strong>署名付きの身分証</strong> で証明するための仕組みです。 身近な例は「Google でログイン」です。サイト側はあなたのパスワードを知らなくても、Google が「この人は確かに本人です」と署名付きで保証してくれるので、ログインを許可できます。</p> <p>ここで出てくる言葉は 4 つだけ覚えれば十分です。</p> <table> <thead> <tr> <th>言葉</th> <th>意味</th> <th>「Google でログイン」の場合</th> </tr> </thead> <tbody> <tr> <td>IdP(身分を証明する側)</td> <td>身分証を発行する</td> <td>Google</td> </tr> <tr> <td>利用する側</td> <td>IdP を信頼して、身分証を受け取る</td> <td>ログインしたいサイト</td> </tr> <tr> <td>トークン(JWT)</td> <td>署名付きの身分証。「誰が」「どこから」などの情報が入っている</td> <td>ログイン用のトークン</td> </tr> <tr> <td>クレーム</td> <td>トークンに入っている個々の情報</td> <td>メールアドレス、名前など</td> </tr> </tbody> </table> <p>GitHub Actions の OIDC は、これを <strong>人ではなくワークフロー(ジョブ)</strong> に当てはめたものです。 GitHub が IdP になり、「このジョブは、このリポジトリの、このブランチで動いています」という身分証をジョブごとに発行します。</p> <h2 id="github-actions-と-aws-の関係">GitHub Actions と AWS の関係</h2> <p>役割を整理すると、次のようになります。</p>