Mint the observability collector check's identity token with the auth action, so the check runs after a deploy

Offen Anfängerfreundlich
  • Stimmt etwas nicht?
#4,270 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
83/100
Issue-Typ
Bug
Klarheit
Klar beschrieben
Aktivitätsstatus
Aktiv
Tech-Stack
gcp, github-actions, python
Bereich
ci-cd, cloud

Rechercherichtung

Beginne mit .github/workflows/deploy-observability-collector.yml und lies nach, wie der Deploy-Schritt Zugangsdaten an verify_observability_collector.sh übergibt. Prüfe in der Dokumentation der Action google-github-actions/auth@v2 die Ausgaben für ID-Token und vergleiche sie damit, wie das Skript sein Token erhält. Fertig ist die Arbeit, wenn die Prüfung nach dem Deployment ein Token für die Collector-URL erstellen und verwenden kann und anschließend ihre Prüfungen der Dateneinspeisung und der Log-Ablehnungen abschließt.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

What happens

The "Deploy observability collector" workflow (.github/workflows/deploy-observability-collector.yml) has failed on all six of its runs since it began deploying automatically on 6 October 2026. Each run deployed a new collector revision, which now serves traffic, and then failed at "Verify Google Cloud ingestion and log rejection" with:

ERROR: (gcloud.auth.print-identity-token) Invalid account type for --audiences. Requires valid service account.

verify_observability_collector.sh gets the token it calls the collector with from gcloud auth print-identity-token --audiences=<collector URL>. The workflow signs in with workload identity federation (google-github-actions/auth@v2 with a workload identity provider and service account), and gcloud can't mint an identity token with an audience from that kind of credential. So the check that the deployed collector accepts traces and metrics, delivers them to Cloud Trace and Cloud Monitoring and rejects logs has never run after a deploy.

Expected

A second google-github-actions/auth@v2 step, after the deploy, mints the identity token for the deployed collector's URL (token_format: id_token), and the verification step reads it from that step's output. The workflow's existing permissions cover this: the GitHub workload identity can get identity tokens for the deploy service account, which can invoke the collector.

Vorherrschende Sprache
Python
Sterne
18
Forks
33
Ø Merge
2 T. 10 Std.
Gemergte PRs (30 T.)
124

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus PolicyEngine/policyengine-api

Alle Issues in PolicyEngine/policyengine-api

Ähnliche Issues

Weitere Issues zu Python

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.