GitHub Actions OIDC 토큰의 고정 주체 클레임
GitHub Actions OIDC 토큰의 기본 sub 클레임에 고정 ID를 넣고, 기존 저장소는 선택적으로 전환할 수 있게 했습니다.
교안에 영향
기존 저장소의 OIDC trust policy 예시가 새 subject claim 형식과 달라져, opt-in한 경우 안내 글의 클레임 예시를 그대로 쓰면 맞지 않을 수 있습니다.
요약
- 새 저장소의 GitHub Actions OIDC 토큰 기본 sub 클레임에 변경되지 않는 소유자·저장소 ID를 추가했습니다. - 저장소 이름 재사용으로 인한 잘못된 권한 부여 위험을 줄이기 위해 클레임 형식을 강화했습니다. - 2026년 7월 15일 이후에 만들어지는 저장소와 이름 변경·이전에는 새 형식이 자동 적용됩니다. - 기존 저장소는 OIDC 설정 UI와 API의 새 토글, 그리고 새 preview endpoint로 직접 전환할 수 있습니다. - 이 변경은 github.com에만 적용되며 GitHub Enterprise Server(GHES)는 영향이 없습니다.
바뀐 것
새 기능
- GitHub Actions OIDC 토큰의 기본 sub(claim) 형식에 변경되지 않는 식별자를 추가했습니다.
- 새 preview endpoint로 새 형식에서 subject claim prefix가 어떻게 보일지 미리 확인할 수 있습니다.
개선
- repo:octocat/my-repo:ref:refs/heads/main 대신 repo:octocat@123456/my-repo@456789:ref:refs/heads/main처럼 소유자와 저장소 ID를 덧붙이는 형식으로 바꿨습니다.
- 2026년 7월 15일 이후 생성되는 모든 저장소에 새 고정 주체 클레임 형식을 자동 적용합니다.
- 2026년 7월 15일 이후의 repository renames와 transfers에도 새 형식을 적용합니다.
- 기존 저장소와 조직은 repository 또는 organization OIDC settings UI와 API의 새 toggle로 새 형식을 선택할 수 있습니다.
기타
- 이 변경은 github.com에만 적용되며 GitHub Enterprise Server(GHES)에는 영향을 주지 않습니다.