参考

元ネタ

ありがたい先人たち

not75743 2023/07/01に更新

エラー内容

OpenIDConnect provider's HTTPS certificate doesn't match configured thumbprintと出ています

not75743 2023/07/01に更新

原因

GitHub Actionsの中間証明書が追加された
既存(のfingerprint)に加え、そいつ(のfingerprint)も追加する必要がある

うーん...ルート証明書が2つあるからってことか...？こんがらがる
まあ追加登録すればいいのはわかった

not75743 2023/07/01

対応

エラー時はこのように単一のfingerprintでしたが

今回指定のあったfingerprint1c58a3a8518e8759bf075b76b750d4f2df264fcdを追加することで解決しました

解決した様子

not75743 2023/07/01に更新

Terraformへの反映は先人たちの力（記事）を借りて後日やりましょう...ありがたすぎる
それより一度仕組みを理解したい気持ちがつよい

ということでこちらを進めていきます

参考にさせていただきます

not75743 2023/07/01に更新

流れ

Github ActionsのOIDC情報取得

参考になる図

not75743 2023/07/01

Github ActionsのOIDC情報取得

$ curl -s https://token.actions.githubusercontent.com/.well-known/openid-configuration | jq
{
  "issuer": "https://token.actions.githubusercontent.com",
  "jwks_uri": "https://token.actions.githubusercontent.com/.well-known/jwks",
  "subject_types_supported": [
    "public",
    "pairwise"
  ],
  "response_types_supported": [
    "id_token"
  ],
  "claims_supported": [
    "sub",
    "aud",
    "exp",
    "iat",
    "iss",
    "jti",
    "nbf",
    "ref",
    "repository",
    "repository_id",
    "repository_owner",
    "repository_owner_id",
    "run_id",
    "run_number",
    "run_attempt",
    "actor",
    "actor_id",
    "workflow",
    "workflow_ref",
    "workflow_sha",
    "head_ref",
    "base_ref",
    "event_name",
    "ref_type",
    "environment",
    "environment_node_id",
    "job_workflow_ref",
    "job_workflow_sha",
    "repository_visibility",
    "runner_environment"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid"
  ]
}

出力内容についてはこちらを参照

not75743 2023/07/02に更新

`jwks_uri`から中間証明書を取得

先程取得したjwks_uriのFQDNを使用します。

$ openssl s_client -servername token.actions.githubusercontent.com -showcerts -connect token.actions.githubusercontent.com:443
// 略

取得できる中間証明書はこちらです。
ルート証明書と間違えないようにしましょう。

中間証明書

後続手順で使用するため、certificate.crtとして保存します

not75743 2023/07/02

取得した中間証明書からfingerprintを取得

fingerprintとは証明書が改ざんされていないことを示すハッシュ値のことです。
AWSがGitHub Actionsの証明書を検証するために必要となるのですね

ワンライナーでハッシュ値を出しました

$ openssl x509 -in certificate.crt -fingerprint -sha1 -noout | sed 's/^SHA1 Fingerprint=//' | tr -d ':' | tr '[:upper:]' '[:lower:]'
1c58a3a8518e8759bf075b76b750d4f2df264fcd

行頭のSHA1 Fingerprint=を削除し
:を削除し
大文字を小文字に置き換え

ました
出力されたハッシュ値1c58a3a8518e8759bf075b76b750d4f2df264fcdはGitHubブログにあったものと同値です

not75743 2023/07/02

終わりに

まあなんとなく理解出来た気がします。
terraformで根本対処ができるまでは、AWS側で登録するfingerprintに気を配りましょう

not75743 2023/07/02

参考

元ネタ

ありがたい先人たち

エラー内容

原因

対応

流れ

参考になる図

Github ActionsのOIDC情報取得

jwks_uriから中間証明書を取得

取得した中間証明書からfingerprintを取得

終わりに

`jwks_uri`から中間証明書を取得