OpenCode 工程师详解 CI 中 Cloudflare 凭证的 OIDC 变通方案

核心信息

一位 OpenCode 工程师介绍了一种在 CI 中安全处理 Cloudflare API 密钥的变通方案：团队新建了独立的 AWS 账户以摆脱 GitHub secrets，因为 AWS Secrets Manager 原生支持 OIDC。

要点

• GitHub Actions 调用一个带 IAM 认证的 Lambda 函数，以获取临时 Cloudflare 凭证。
• 该做法被定位为在 Cloudflare 原生支持 OIDC 之前的临时 hack。
• 这套方案回应了如何在 CI 流水线中以最小权限管理 Cloudflare API 密钥的问题。
• 作者曾考虑自建一个处理 OIDC 的 worker，但指出那会多出一个需要保护的对象。