Mint the observability collector check's identity token with the auth action, so the check runs after a deploy

Aperta Adatta ai principianti
  • Qualcosa non va?
#4,270 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
83/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
gcp, github-actions, python
Ambito
ci-cd, cloud

Direzione di ricerca

Inizia da .github/workflows/deploy-observability-collector.yml e controlla come il passaggio di distribuzione passa le credenziali a verify_observability_collector.sh. Consulta la documentazione dell’action google-github-actions/auth@v2 per le relative uscite del token ID e confrontale con il modo in cui lo script riceve il proprio token. Il lavoro è completato quando la verifica post-distribuzione può generare e usare un token per l’URL del collector, quindi completare i controlli di ingestione e rifiuto dei log.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

What happens

The "Deploy observability collector" workflow (.github/workflows/deploy-observability-collector.yml) has failed on all six of its runs since it began deploying automatically on 6 October 2026. Each run deployed a new collector revision, which now serves traffic, and then failed at "Verify Google Cloud ingestion and log rejection" with:

ERROR: (gcloud.auth.print-identity-token) Invalid account type for --audiences. Requires valid service account.

verify_observability_collector.sh gets the token it calls the collector with from gcloud auth print-identity-token --audiences=<collector URL>. The workflow signs in with workload identity federation (google-github-actions/auth@v2 with a workload identity provider and service account), and gcloud can't mint an identity token with an audience from that kind of credential. So the check that the deployed collector accepts traces and metrics, delivers them to Cloud Trace and Cloud Monitoring and rejects logs has never run after a deploy.

Expected

A second google-github-actions/auth@v2 step, after the deploy, mints the identity token for the deployed collector's URL (token_format: id_token), and the verification step reads it from that step's output. The workflow's existing permissions cover this: the GitHub workload identity can get identity tokens for the deploy service account, which can invoke the collector.

Lingua principale
Python
Stelle
18
Fork
33
Merge medio
2g 10h
PR unite (30g)
124

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di PolicyEngine/policyengine-api

Tutte le issue di PolicyEngine/policyengine-api

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.