GitHub Actions OIDC: نشر سحابي دون سر ثابتGitHub Actions OIDC: نشر سحابي دون سر ثابت

يعالج موضوع «GitHub Actions OIDC: نشر سحابي دون سر ثابت» مشكلة محددة: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وينطلق من عناصر فعلية هي GitHub Actions, OIDC, subject, audience, cloud role للوصول إلى قرار يمكن التحقق منه بدلا من وصف عام.

المشكلة العملية: GitHub Actions مع OIDC

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c11 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى OIDC وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود subject و cloud role؛ فما لا يثبته السيناريو github-actions-oidc-ar-c11 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل GitHub Actions نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c12 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. لاختبار subject تتضمن fixture ‏github-actions-oidc-ar-c12 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى audience. بعد ذلك يراقب التشغيل الانتقال بين audience و cloud role، بينما يتحقق الأمن من أن GitHub Actions لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق cloud role يعيد rollback الإعداد المرتبط بـ GitHub Actions ثم يشغل github-actions-oidc-ar-c12 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من OIDC.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c13 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى audience وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود cloud role و OIDC؛ فما لا يثبته السيناريو github-actions-oidc-ar-c13 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل subject نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c14 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. لاختبار cloud role تتضمن fixture ‏github-actions-oidc-ar-c14 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى GitHub Actions. بعد ذلك يراقب التشغيل الانتقال بين GitHub Actions و OIDC، بينما يتحقق الأمن من أن subject لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق OIDC يعيد rollback الإعداد المرتبط بـ subject ثم يشغل github-actions-oidc-ar-c14 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من audience.

حالة تقنية لـ GitHub Actions ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «المشكلة العملية: GitHub Actions مع OIDC»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
نقطة دليل: توضح OWASP أن OWASP identifies its 2026 LLM Top 10 as the current release for major security risks in LLM applications. ويُستخدم هذا المرجع لتأطير القسم «المشكلة العملية: GitHub Actions مع OIDC» من دون أن يحل محل الاختبار المحلي. [S1]

حدود الثقة حول subject

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c21 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. إذا فشل تحقق cloud role يعيد rollback الإعداد المرتبط بـ GitHub Actions ثم يشغل github-actions-oidc-ar-c21 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من OIDC. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى subject وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود audience و GitHub Actions؛ فما لا يثبته السيناريو github-actions-oidc-ar-c21 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c22 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل subject نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار audience تتضمن fixture ‏github-actions-oidc-ar-c22 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى cloud role. بعد ذلك يراقب التشغيل الانتقال بين cloud role و GitHub Actions، بينما يتحقق الأمن من أن OIDC لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c23 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. إذا فشل تحقق OIDC يعيد rollback الإعداد المرتبط بـ subject ثم يشغل github-actions-oidc-ar-c23 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من audience. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى cloud role وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود GitHub Actions و subject؛ فما لا يثبته السيناريو github-actions-oidc-ar-c23 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c24 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل cloud role نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار GitHub Actions تتضمن fixture ‏github-actions-oidc-ar-c24 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى OIDC. بعد ذلك يراقب التشغيل الانتقال بين OIDC و subject، بينما يتحقق الأمن من أن audience لا يحصل على صلاحية ضمنية أو بيانات زائدة.

حالة تقنية لـ OIDC ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «حدود الثقة حول subject»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
نقطة دليل: توضح OWASP أن The 2025 OWASP LLM list provides the prior baseline for risks observed as LLMs became embedded in more production applications. ويُستخدم هذا المرجع لتأطير القسم «حدود الثقة حول subject» من دون أن يحل محل الاختبار المحلي. [S2]

تجهيز الحالة الابتدائية والمتطلبات

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c31 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. بعد ذلك يراقب التشغيل الانتقال بين cloud role و GitHub Actions، بينما يتحقق الأمن من أن OIDC لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق GitHub Actions يعيد rollback الإعداد المرتبط بـ OIDC ثم يشغل github-actions-oidc-ar-c31 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من subject. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى audience وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c32 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. وتبقى الخلاصة محكومة بحدود GitHub Actions و subject؛ فما لا يثبته السيناريو github-actions-oidc-ar-c32 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل audience نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار cloud role تتضمن fixture ‏github-actions-oidc-ar-c32 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى GitHub Actions.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c33 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. بعد ذلك يراقب التشغيل الانتقال بين OIDC و subject، بينما يتحقق الأمن من أن audience لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق subject يعيد rollback الإعداد المرتبط بـ audience ثم يشغل github-actions-oidc-ar-c33 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من cloud role. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى GitHub Actions وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c34 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. وتبقى الخلاصة محكومة بحدود subject و cloud role؛ فما لا يثبته السيناريو github-actions-oidc-ar-c34 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل GitHub Actions نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار OIDC تتضمن fixture ‏github-actions-oidc-ar-c34 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى subject.

حالة تقنية لـ subject ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «تجهيز الحالة الابتدائية والمتطلبات»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
  1. الخطوة 1 — اضبط GitHub Actions ثم نفذ التحقق github-actions-oidc-ar-step-1 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  2. الخطوة 2 — اضبط OIDC ثم نفذ التحقق github-actions-oidc-ar-step-2 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  3. الخطوة 3 — اضبط subject ثم نفذ التحقق github-actions-oidc-ar-step-3 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  4. الخطوة 4 — اضبط audience ثم نفذ التحقق github-actions-oidc-ar-step-4 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  5. الخطوة 5 — اضبط cloud role ثم نفذ التحقق github-actions-oidc-ar-step-5 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  6. الخطوة 6 — اضبط GitHub Actions ثم نفذ التحقق github-actions-oidc-ar-step-6 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.

ثلاثة أعطال وتصحيحها

  • رفض المدخل بعد تنفيذ الأثر: انقل التحقق إلى ما قبل الفعل الخارجي.
  • غياب الدليل: سجل معرّف قرار من دون تخزين السر.
  • رجوع جزئي: أعد الإعداد والصلاحية معا ثم أعد اختبار fixture المرجعية.
نقطة دليل: توضح Kubernetes أن Kubernetes publishes a baseline security checklist while warning that cluster security requires ongoing context-specific attention rather than checklist compliance alone. ويُستخدم هذا المرجع لتأطير القسم «تجهيز الحالة الابتدائية والمتطلبات» من دون أن يحل محل الاختبار المحلي. [S3]

تنفيذ الإجراء وملاحظة النتيجة

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c41 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. لاختبار cloud role تتضمن fixture ‏github-actions-oidc-ar-c41 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى GitHub Actions. بعد ذلك يراقب التشغيل الانتقال بين GitHub Actions و OIDC، بينما يتحقق الأمن من أن subject لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق OIDC يعيد rollback الإعداد المرتبط بـ subject ثم يشغل github-actions-oidc-ar-c41 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من audience.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c42 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى GitHub Actions وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود OIDC و audience؛ فما لا يثبته السيناريو github-actions-oidc-ar-c42 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل cloud role نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c43 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. لاختبار OIDC تتضمن fixture ‏github-actions-oidc-ar-c43 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى subject. بعد ذلك يراقب التشغيل الانتقال بين subject و audience، بينما يتحقق الأمن من أن cloud role لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق audience يعيد rollback الإعداد المرتبط بـ cloud role ثم يشغل github-actions-oidc-ar-c43 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من GitHub Actions.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c44 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى subject وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود audience و GitHub Actions؛ فما لا يثبته السيناريو github-actions-oidc-ar-c44 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل OIDC نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

حالة تقنية لـ audience ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «تنفيذ الإجراء وملاحظة النتيجة»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
نقطة دليل: توضح Kubernetes أن Kubernetes application guidance covers secure workload practices from the developer perspective. ويُستخدم هذا المرجع لتأطير القسم «تنفيذ الإجراء وملاحظة النتيجة» من دون أن يحل محل الاختبار المحلي. [S4]

حالات الفشل والإشارات وطريقة التشخيص

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c51 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل cloud role نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار GitHub Actions تتضمن fixture ‏github-actions-oidc-ar-c51 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى OIDC. بعد ذلك يراقب التشغيل الانتقال بين OIDC و subject، بينما يتحقق الأمن من أن audience لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c52 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. إذا فشل تحقق audience يعيد rollback الإعداد المرتبط بـ cloud role ثم يشغل github-actions-oidc-ar-c52 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من GitHub Actions. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى OIDC وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود subject و cloud role؛ فما لا يثبته السيناريو github-actions-oidc-ar-c52 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c53 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل OIDC نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار subject تتضمن fixture ‏github-actions-oidc-ar-c53 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى audience. بعد ذلك يراقب التشغيل الانتقال بين audience و cloud role، بينما يتحقق الأمن من أن GitHub Actions لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c54 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. إذا فشل تحقق GitHub Actions يعيد rollback الإعداد المرتبط بـ OIDC ثم يشغل github-actions-oidc-ar-c54 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من subject. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى audience وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود cloud role و OIDC؛ فما لا يثبته السيناريو github-actions-oidc-ar-c54 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

حالة تقنية لـ cloud role ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «حالات الفشل والإشارات وطريقة التشخيص»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
نقطة دليل: توضح GitHub أن GitHub documents OIDC token claims such as issuer, audience and subject that cloud trust policies can evaluate. ويُستخدم هذا المرجع لتأطير القسم «حالات الفشل والإشارات وطريقة التشخيص» من دون أن يحل محل الاختبار المحلي. [S5]

نشر تدريجي وخطة رجوع

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c61 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. وتبقى الخلاصة محكومة بحدود subject و cloud role؛ فما لا يثبته السيناريو github-actions-oidc-ar-c61 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل GitHub Actions نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار OIDC تتضمن fixture ‏github-actions-oidc-ar-c61 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى subject.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c62 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. بعد ذلك يراقب التشغيل الانتقال بين audience و cloud role، بينما يتحقق الأمن من أن GitHub Actions لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق cloud role يعيد rollback الإعداد المرتبط بـ GitHub Actions ثم يشغل github-actions-oidc-ar-c62 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من OIDC. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى subject وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c63 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. وتبقى الخلاصة محكومة بحدود cloud role و OIDC؛ فما لا يثبته السيناريو github-actions-oidc-ar-c63 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل subject نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار audience تتضمن fixture ‏github-actions-oidc-ar-c63 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى cloud role.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c64 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. بعد ذلك يراقب التشغيل الانتقال بين GitHub Actions و OIDC، بينما يتحقق الأمن من أن subject لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق OIDC يعيد rollback الإعداد المرتبط بـ subject ثم يشغل github-actions-oidc-ar-c64 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من audience. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى cloud role وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

حالة تقنية لـ GitHub Actions ضمن GitHub Actions OIDC: نشر سحابي دون سر ثابت
لقطة سياقية لقسم «نشر تدريجي وخطة رجوع»: حالة محلية منتجة فعليا للتحقق github-actions-oidc-ar.
نقطة دليل: توضح GitHub أن GitHub Actions OIDC lets workflows obtain cloud access without storing long-lived cloud credentials, provided trust conditions constrain token issuance. ويُستخدم هذا المرجع لتأطير القسم «نشر تدريجي وخطة رجوع» من دون أن يحل محل الاختبار المحلي. [S6]

معايير قرار الإنتاج

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c71 من OIDC ويعامل subject كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على audience إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ cloud role بإحداث الأثر المقصود حول GitHub Actions. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى subject وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود audience و GitHub Actions؛ فما لا يثبته السيناريو github-actions-oidc-ar-c71 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل OIDC نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c72 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. لاختبار audience تتضمن fixture ‏github-actions-oidc-ar-c72 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى cloud role. بعد ذلك يراقب التشغيل الانتقال بين cloud role و GitHub Actions، بينما يتحقق الأمن من أن OIDC لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق GitHub Actions يعيد rollback الإعداد المرتبط بـ OIDC ثم يشغل github-actions-oidc-ar-c72 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من subject.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c73 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى cloud role وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود GitHub Actions و subject؛ فما لا يثبته السيناريو github-actions-oidc-ar-c73 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل audience نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c74 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. لاختبار GitHub Actions تتضمن fixture ‏github-actions-oidc-ar-c74 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى OIDC. بعد ذلك يراقب التشغيل الانتقال بين OIDC و subject، بينما يتحقق الأمن من أن audience لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق subject يعيد rollback الإعداد المرتبط بـ audience ثم يشغل github-actions-oidc-ar-c74 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من cloud role.

نقطة دليل: توضح GitHub أن GitHub recommends pinning third-party actions to full-length commit SHAs to obtain an immutable reference. ويُستخدم هذا المرجع لتأطير القسم «معايير قرار الإنتاج» من دون أن يحل محل الاختبار المحلي. [S7]

ضوابط تستمر بعد الإطلاق

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c81 من subject ويعامل audience كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على cloud role إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ GitHub Actions بإحداث الأثر المقصود حول OIDC. إذا فشل تحقق GitHub Actions يعيد rollback الإعداد المرتبط بـ OIDC ثم يشغل github-actions-oidc-ar-c81 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من subject. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى audience وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود cloud role و OIDC؛ فما لا يثبته السيناريو github-actions-oidc-ar-c81 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c82 من audience ويعامل cloud role كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على GitHub Actions إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ OIDC بإحداث الأثر المقصود حول subject. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل audience نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار cloud role تتضمن fixture ‏github-actions-oidc-ar-c82 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى GitHub Actions. بعد ذلك يراقب التشغيل الانتقال بين GitHub Actions و OIDC، بينما يتحقق الأمن من أن subject لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c83 من cloud role ويعامل GitHub Actions كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على OIDC إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ subject بإحداث الأثر المقصود حول audience. إذا فشل تحقق subject يعيد rollback الإعداد المرتبط بـ audience ثم يشغل github-actions-oidc-ar-c83 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من cloud role. هذه الدقة تجعل «GitHub Actions OIDC: نشر سحابي دون سر ثابت» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى GitHub Actions وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود OIDC و audience؛ فما لا يثبته السيناريو github-actions-oidc-ar-c83 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «GitHub Actions OIDC: نشر سحابي دون سر ثابت» يبدأ السيناريو github-actions-oidc-ar-c84 من GitHub Actions ويعامل OIDC كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على subject إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ audience بإحداث الأثر المقصود حول cloud role. تخدم هذه السلسلة المهمة العملية التالية: إنشاء ثقة اتحادية تقبل claims محددة من workflow وتمنح رمزا قصير العمر لدور سحابي محدود. وهي تجعل GitHub Actions نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار OIDC تتضمن fixture ‏github-actions-oidc-ar-c84 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى subject. بعد ذلك يراقب التشغيل الانتقال بين subject و audience، بينما يتحقق الأمن من أن cloud role لا يحصل على صلاحية ضمنية أو بيانات زائدة.

نقطة دليل: توضح GitHub أن Dependency review exposes added, removed and updated dependencies together with vulnerability context before changes are merged. ويُستخدم هذا المرجع لتأطير القسم «ضوابط تستمر بعد الإطلاق» من دون أن يحل محل الاختبار المحلي. [S8]

قائمة تحقق تشغيلية

  • الضابط المتعلق بـ GitHub Actions يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ OIDC يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ subject يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ audience يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ cloud role يملك مدخلا وقاعدة وسلوك رفض ودليلا.

المصادر ونقاط التحكم

  1. [S1] OWASP Top 10 for Large Language Model Applications — OWASP identifies its 2026 LLM Top 10 as the current release for major security risks in LLM applications. source
  2. [S2] OWASP Top 10 for LLM Applications 2025 — The 2025 OWASP LLM list provides the prior baseline for risks observed as LLMs became embedded in more production applications. source
  3. [S3] Security Checklist - Kubernetes — Kubernetes publishes a baseline security checklist while warning that cluster security requires ongoing context-specific attention rather than checklist compliance alone. source
  4. [S4] Application Security Checklist - Kubernetes — Kubernetes application guidance covers secure workload practices from the developer perspective. source
  5. [S5] OpenID Connect reference - GitHub Docs — GitHub documents OIDC token claims such as issuer, audience and subject that cloud trust policies can evaluate. source
  6. [S6] Configuring OpenID Connect in cloud providers — GitHub Actions OIDC lets workflows obtain cloud access without storing long-lived cloud credentials, provided trust conditions constrain token issuance. source
  7. [S7] Secure use reference - GitHub Actions — GitHub recommends pinning third-party actions to full-length commit SHAs to obtain an immutable reference. source
  8. [S8] Reviewing dependency changes in a pull request — Dependency review exposes added, removed and updated dependencies together with vulnerability context before changes are merged. source
  9. [S9] Supply chain security - GitHub Docs — GitHub supply-chain controls combine dependency visibility, vulnerability alerts, automated updates and review workflows. source
  10. [S10] RFC 9700: Best Current Practice for OAuth 2.0 Security — RFC 9700 updates OAuth 2.0 security practice, including exact redirect URI matching and avoiding open redirectors and insecure legacy patterns. source
Publicité