AWS OIDC 详解：告别长期密钥，拥抱安全高效的云身份验证

想象一下：你的 CI/CD 流水线每次部署时，不再需要保管那些令人提心吊胆的 AWS 长期访问密钥。取而代之的是一种自动、安全且基于信任的身份验证方式 —— 这就是 AWS OIDC 带来的变革。

一、什么是 AWS OIDC？身份验证的“信任传递”

OIDC（OpenID Connect） 是建立在 OAuth 2.0 之上的现代身份认证协议。AWS OIDC 的核心是允许你信任外部身份提供商（如 GitHub, GitLab, Google）颁发的身份令牌（JWT），并基于此在 AWS 中授予临时安全凭证。

其工作流程就像一个高效的“信任接力”：

1. 你的 CI/CD 工具（如 GitHub Actions）向 IdP 证明身份
2. IdP 颁发包含身份信息的 JWT 令牌
3. AWS 验证 JWT 的签名和有效性
4. 若验证通过，AWS STS 颁发临时访问凭证
5. 你的流水线使用这些临时凭证访问 AWS 资源