Mint the observability collector check's identity token with the auth action, so the check runs after a deploy

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#4,270 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
83/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
gcp, github-actions, python
Lĩnh vực
ci-cd, cloud

Hướng nghiên cứu

Bắt đầu với .github/workflows/deploy-observability-collector.yml và xem bước triển khai chuyển thông tin xác thực cho verify_observability_collector.sh như thế nào. Kiểm tra tài liệu của action google-github-actions/auth@v2 để biết các đầu ra ID token và so sánh chúng với cách script nhận token. Công việc hoàn tất khi bước xác minh sau triển khai có thể tạo và sử dụng token cho URL của collector, sau đó hoàn thành các bước kiểm tra tiếp nhận dữ liệu và từ chối log.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

What happens

The "Deploy observability collector" workflow (.github/workflows/deploy-observability-collector.yml) has failed on all six of its runs since it began deploying automatically on 6 October 2026. Each run deployed a new collector revision, which now serves traffic, and then failed at "Verify Google Cloud ingestion and log rejection" with:

ERROR: (gcloud.auth.print-identity-token) Invalid account type for --audiences. Requires valid service account.

verify_observability_collector.sh gets the token it calls the collector with from gcloud auth print-identity-token --audiences=<collector URL>. The workflow signs in with workload identity federation (google-github-actions/auth@v2 with a workload identity provider and service account), and gcloud can't mint an identity token with an audience from that kind of credential. So the check that the deployed collector accepts traces and metrics, delivers them to Cloud Trace and Cloud Monitoring and rejects logs has never run after a deploy.

Expected

A second google-github-actions/auth@v2 step, after the deploy, mints the identity token for the deployed collector's URL (token_format: id_token), and the verification step reads it from that step's output. The workflow's existing permissions cover this: the GitHub workload identity can get identity tokens for the deploy service account, which can invoke the collector.

Ngôn ngữ chính
Python
Star
18
Fork
33
Merge trung bình
2 ngày 10 giờ
Pull request đã merge (30 ngày)
124

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của PolicyEngine/policyengine-api

Tất cả issue của PolicyEngine/policyengine-api

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.