Mint the observability collector check's identity token with the auth action, so the check runs after a deploy

Abierto Apto para principiantes
  • ¿Algo no está bien?
#4,270 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
83/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
gcp, github-actions, python
Área
ci-cd, cloud

Línea de trabajo

Empieza con .github/workflows/deploy-observability-collector.yml y revisa cómo el paso de despliegue pasa las credenciales a verify_observability_collector.sh. Consulta la documentación de la acción google-github-actions/auth@v2 para ver sus salidas de ID token y compáralas con la forma en que el script recibe su token. El trabajo estará terminado cuando la verificación posterior al despliegue pueda generar y usar un token para la URL del collector y, a continuación, completar sus comprobaciones de ingestión y rechazo de registros.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

What happens

The "Deploy observability collector" workflow (.github/workflows/deploy-observability-collector.yml) has failed on all six of its runs since it began deploying automatically on 6 October 2026. Each run deployed a new collector revision, which now serves traffic, and then failed at "Verify Google Cloud ingestion and log rejection" with:

ERROR: (gcloud.auth.print-identity-token) Invalid account type for --audiences. Requires valid service account.

verify_observability_collector.sh gets the token it calls the collector with from gcloud auth print-identity-token --audiences=<collector URL>. The workflow signs in with workload identity federation (google-github-actions/auth@v2 with a workload identity provider and service account), and gcloud can't mint an identity token with an audience from that kind of credential. So the check that the deployed collector accepts traces and metrics, delivers them to Cloud Trace and Cloud Monitoring and rejects logs has never run after a deploy.

Expected

A second google-github-actions/auth@v2 step, after the deploy, mints the identity token for the deployed collector's URL (token_format: id_token), and the verification step reads it from that step's output. The workflow's existing permissions cover this: the GitHub workload identity can get identity tokens for the deploy service account, which can invoke the collector.

Lenguaje dominante
Python
Estrellas
18
Forks
33
Merge medio
2 d 10 h
PR fusionados (30 d)
124

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de PolicyEngine/policyengine-api

Todos los issues de PolicyEngine/policyengine-api

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.