feat: external OIDC tokens for self-hosted instances

Đang mở
  • Có gì không ổn?
#5,090 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
typescript
Lĩnh vực
authentication, backend-api-design

Hướng nghiên cứu

Start by tracing getExternalOidcController() and the ExternalOidcPlugin interface, then review the /api/v1/auth/oidc/token route and the existing token claims. Check how the isCloud() gate, OIDC_ISSUER_URL, and run-token setting control minting. Done means self-hosted instances can mint tokens under the stated conditions, the documented claims include the requested identifiers, and tests cover the behavior.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Is your feature request related to a problem? Please describe.

v4.8.3 added auth.getOIDCToken() and @trigger.dev/sdk/oidc/aws, but only Trigger.dev Cloud can mint the tokens. getExternalOidcController() returns null unless isCloud() is true, and the minter is loaded from the closed @triggerdotdev/plugins/oidc module. On a self-hosted instance POST /api/v1/auth/oidc/token returns 503. The open-source repo already has the rest: the OIDC_ISSUER_URL issuer, the /.well-known/jwks.json and discovery routes, the signing key service, run-token verification and the ExternalOidcPlugin interface.

Self-hosted operators are often the ones with the strictest security requirements (FedRAMP, ITAR, HIPAA). A task can only get its credentials from the environment's variables. Every run in an environment receives the same static secrets: database and API admin credentials, cloud keys and vendor tokens. Any task, or any dependency bundled into the image, can read all of them. OIDC would let a task exchange a short-lived token, valid only for one audience, for credentials scoped to that task: AWS roles through STS, token exchange with Keycloak or another IdP, Vault, or GCP and Azure workload identity. The static secrets could then leave the environment.

Describe the solution you'd like to see
  • Enable external OIDC on self-hosted instances when OIDC_ISSUER_URL is set and run tokens are on, with an open-source minter. A self-hosted operator can already provide that minter through the existing plugin interface if only the isCloud() gate is removed.
  • Document the token's claim set. Include run_id, task_id, attempt and deployment_id alongside sub, so a verifier can authorize per task and attribute activity to a run.
  • Optionally, let operators add claims, such as AWS session tags (https://aws.amazon.com/tags). That would let a multi-tenant application drive attribute-based access control from data recorded when the run was triggered.
Describe alternate solutions
  • Workload identity on run pods (IRSA, EKS Pod Identity): the identity belongs to the worker group's service account, so every task in the environment gets the same role. It is AWS-only, and it doesn't identify the run or task.
  • Sending the internal run token (run+jwt) to our own exchange service: its signing keys aren't published, and its audience is trigger:api with admin scope. The receiving service ends up holding a Trigger API credential for the whole environment.
  • Shipping our own @triggerdotdev/plugins/oidc module: the isCloud() check still blocks it.
Additional information

Related: #1851 (OIDC on Cloud runners). I'm happy to help with a PR.

Ngôn ngữ chính
TypeScript
Star
16.5k
Fork
1.5k
Merge trung bình
1 ngày 15 giờ
Pull request đã merge (30 ngày)
17

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của triggerdotdev/trigger.dev

Tất cả issue của triggerdotdev/trigger.dev

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.