`identity_token` 블록 참조

identity_token 블록 참조 (identity_token block reference)

identity_token 블록을 사용해 Terraform이 클라우드 프로바이더 및 기타 서비스와의 OIDC 인증을 위해 생성하는 JSON 웹 토큰(JWT)을 정의해요. 이 페이지에서는 identity_token 블록의 구성 모델, 토큰 속성, 그리고 클레임 메타데이터를 다룰게요.

출처: 문서

본문

identity_token 블록을 사용해 Terraform이 클라우드 프로바이더 및 기타 서비스와의 OIDC 인증을 위해 생성하는 JSON 웹 토큰(JWT)을 정의해요.

배경 (Background)

identity_token 블록은 주어진 배포에 대해 Terraform이 생성하는 JSON 웹 토큰(JWT)을 정의해요. 배포의 inputs에서 이 토큰을 참조하고 OpenID Connect(OIDC) 인증을 위해 프로바이더 구성에 직접 전달할 수 있어요.

ID 토큰은 장기 자격 증명을 저장하지 않고 Stack 배포를 클라우드 프로바이더와 인증하는 안전한 방법을 제공해요. OIDC를 사용해 Stack을 인증하는 방법에 대한 자세한 내용은 Stack 인증을 참고해요.

구성 모델 (Configuration model)

identity_token 블록은 다음 인자를 지원해요:

• identity_token "<NAME>" 블록
  • audience 문자열의 집합

완전한 구성 (Complete configuration)

사용 가능한 모든 인자는 다음 identity_token 블록에 정의돼 있어요:

identity_token "<NAME>" {
  audience = ["<AUDIENCE>"]
}

사양 (Specification)

identity_token 블록은 다음 구성을 지원해요.

identity_token "<NAME>"

identity_token 키워드 뒤의 레이블은 ID 토큰의 이름이며, 같은 배포 구성 파일의 모든 ID 토큰 사이에서 고유해야 해요. 이름은 유효한 식별자라면 무엇이든 될 수 있어요.

identity_token 블록은 다음 인자를 지원해요:

audience

audience 인자는 ID 토큰의 의도된 대상을 지정해요. 대상은 Terraform이 토큰을 생성한 후 그 토큰을 사용하는 리소스 또는 서비스를 나타내요.

identity_token "<NAME>" {
  audience = ["<AUDIENCE_VALUE>"]
}

AUDIENCE_VALUE는 프로바이더나 대상 서비스가 기대하는 대상과 일치해야 해요. 예를 들어 AWS 워크로드 ID는 일반적으로 대상 값으로 "aws.workload.identity"를 기대해요. 자세한 내용과 예시는 Stack 인증을 참고해요.

토큰 속성 (Token attributes)

정의한 후 배포 구성에서 ID 토큰의 속성을 참조할 수 있어요:

ID 토큰 클레임 메타데이터 (Identity token claim metadata)

워크로드 ID 토큰은 페이로드에 클레임이라고 하는 다른 유용한 메타데이터를 포함해요. 클라우드 플랫폼이 HCP Terraform의 공개 키로 토큰을 검증하면, ID 토큰의 클레임을 살펴 정확한 권한과 일치시키거나 거부할 수 있어요.

전체 토큰 사양이나 각 클레임이 무엇을 의미하는지 이해할 필요는 없지만, 클레임을 사용해 신뢰 관계를 조정할 수 있어요.

워크로드 ID 토큰은 일반적으로 다음 클레임을 참조해요.

다음 사용자 지정 클레임을 사용해 토큰의 권한을 더 사용자 지정할 수 있어요.

예시 (Examples)

다음 예시는 identity_token 블록의 일반적인 사용 사례를 보여줘요.

AWS OIDC 인증 (AWS OIDC authentication)

다음 예시에서 aws ID 토큰은 AWS 워크로드 ID에 대한 대상을 구성해요. production 배포는 identity_token 블록이 생성하는 토큰(identity_token.aws.jwt)을 IAM 역할 ARN과 함께 컴포넌트 구성에 전달해요:

main.tfdeploy.hcl

identity_token "aws" {
  audience = ["aws.workload.identity"]
}

deployment "production" {
  inputs = {
    role_arn   = "arn:aws:iam::123456789012:role/my-oidc-role"
    aws_token  = identity_token.aws.jwt
  }
}

컴포넌트 구성에서 생성된 JWT 토큰을 사용해 AWS 프로바이더를 구성할 수 있어요:

main.tfcomponent.hcl

variable "aws_token" {
  type      = string
  ephemeral = true
}

variable "role_arn" {
  type = string
  sensitive = true
}

provider "aws" "main" {
  config {
    assume_role_with_web_identity {
      role_arn           = var.role_arn
      web_identity_token = var.aws_token
    }
  }
}

여러 클라우드 프로바이더 (Multiple cloud providers)

다음 예시에서 별도의 ID 토큰이 aws와 gcp 워크로드 ID에 대한 대상을 구성하고, multi_cloud 배포는 두 JWT 토큰을 각자의 역할 구성과 함께 전달해요:

identity_token "aws" {
  audience = ["aws.workload.identity"]
}

identity_token "gcp" {
  audience = ["gcp.workload.identity"]
}

deployment "multi_cloud" {
  inputs = {
    aws_token = identity_token.aws.jwt
    gcp_token = identity_token.gcp.jwt
    aws_role  = "arn:aws:iam::123456789012:role/terraform-role"
    gcp_sa    = "[email protected]"
  }
}

더 알아보기 (Learn more)

• Stack 인증 (Authenticate a Stack)
• deployment 블록 참조
• 배포 구성 개요
• Stacks 개요