{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::<AccountID>:oidc-provider/token.actions.githubusercontent.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringLike": {
                    "token.actions.githubusercontent.com:sub": "repo:<GitHubアカウント名>/<GitHubリポジトリ名>:*"
                }
            }
        }
    ]
}

Conditionでのアクセス許可は以下を参照します

not75743

workflow作成

s3バケットを一覧表示するワークフローです

name: test

on:
  push:

env:
  AWS_ROLE_ARN: ${{ secrets.AWS_OIDC_ROLE_ARN }}

permissions:  
  id-token: write
  contents: read

jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - name: configure aws credential
        uses: aws-actions/configure-aws-credentials@v2
        with:
          role-to-assume: ${{ env.AWS_ROLE_ARN }}
          aws-region: ap-northeast-1
      - name: OIDC test
        run: aws s3 ls

not75743

動作確認

pushしてworkflowが正常に動けばOKです。
s3バケットが一覧表示されます

not75743

ポイント

IAMロールのArnが必要となるため、控えてワークフローから参照出来るようにする
- 今回はsecretsを使用
permissions.id-tokenをwriteとすることでOIDCプロバイダからトークンを取得出来る

permissions:  
  id-token: write

not75743

この構成のメリット

アクセスキーなどを用意することなく AWS 認証を行うことが可能。
セキュリティの向上が見込める

not75743