be able to fetch Installation Token using a BYO JWT
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức phù hợp với người mới
- 52/100
- Loại issue
- Tính năng
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Ít trao đổi
- Công nghệ
- github-actions, javascript
- Lĩnh vực
- api, authentication, security
Hướng nghiên cứu
No file or test is named in the issue. Start by tracing the action's current inputs and GitHub App installation-token flow, then review how a caller-provided JWT could fit that flow without requiring the private key. Done means a workflow can supply its own JWT, receive the installation token, and retain the existing behavior for other users.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Story
Given that credentials can be leaked from GitHub actions accidentally or intentionally by a variety of means
As a security-conscious GHA workflow owner
When there is a Requirement to use a high-privileged GitHub App in a workflow
I need a way to put only short-lived, easy to rotate creds into the workflow context
so that if the cred is leaked, the risk of exploitation is time-bound and easier to contain/respond to
Scenario
- Summary: A workflow owner already has a way to get the JWT, but wants to use this Action to get the installation token.
- How is the JWT obtained? A GH App's Private Key has been stored in a Secrets Store, such that it can be used for signing claims but cannot be downloaded.
- What would we want this Action/create-github-app-token to change? Allow the workflow consumer to provide their own JWT, and not have to rewrite the logic for getting an Installation Token.
- What's the security benefit? The Private Key never leaves the Secret Store. It's never directly exposed in any way to leakage.
Priority Level
- Nice-to-have.
- There are a few nuances, but overall, it's not super hard to get the installation token.
- Would just be nice to have the abstraction and not reinvent the wheel. Instead of countless organizations writing their own internal Action for local use, or using scripts in Actions contexts.
- Ngôn ngữ chính
- JavaScript
- Star
- 886
- Fork
- 174
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của actions/create-github-app-token
-
Độ khó 1/5 1-3 giờ Mức phù hợp với người mới 72/100
actions/create-github-app-token#377 · 1 bình luận ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 48/100
-
stale
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
actions/create-github-app-token#330 · 1 bình luận · 3 reaction ·
-
stale
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 65/100
actions/create-github-app-token#324 · 1 bình luận · 3 reaction ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 64/100
actions/create-github-app-token#322 · 1 bình luận · 4 reaction ·
Tất cả issue của actions/create-github-app-token
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
mksglu/context-mode#1200 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
neondatabase/website#5944 ·
-
module: core
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
bigbluebutton/bigbluebutton#25849 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
jaegertracing/jaeger-ui#4506 ·