工作负载身份联合条件的通用表达式语言中的用户或条件

Question

我正在尝试在我的 GCP 组织中设置工作负载身份联合身份验证。

我想通过利用attribute_conditions来限制访问，以便一些repos 和一些分支能够访问 GCP 服务帐户提供的相应权限。 假设我想使用 2 个存储库/分支，那么在语法上正确的方法（就 CEL 而言）是什么？

 attribute_condition                = "(assertion.sub=='repo:MyOrg/repo1:ref:refs/heads/main|repo:MyOrg/repo2:ref:refs/heads/master')"

我尝试过的上述示例似乎不起作用。

Answer 1

问题在于期望值的链接方式。 我有一个类似的用例来支持多个存储库，并且以下格式有效。

(assertion.repository=='MyOrg/repo1' && assertion.ref=='refs/heads/main') || (assertion.repository=='MyOrg/repo2' && assertion.ref=='refs/heads/master')

确保为使用的字段定义了属性映射（ assertion.repository 和 assertion.ref）