Команда JetBrains внедрила OIDC-плагин для TeamCity, позволяющий отказаться от статических учётных данных в CI/CD

Компания JetBrains внедрила новый плагин OIDC JWT для системы непрерывной интеграции TeamCity, который позволяет сборкам аутентифицироваться во внешних сервисах, включая AWS и Google Cloud, с использованием краткосрочных токенов вместо статических учётных данных, что значительно снижает риски утечек через логи и артефакты сборки.

Команда JetBrains внедрила OIDC-плагин для TeamCity, позволяющий отказаться от статических учётных данных в CI/CD. Фото: из архива компании

Плагин превращает сервер TeamCity в провайдера удостоверений, который выдаёт криптографически подписанные JSON Web Token, содержащие информацию о рабочей нагрузке, сроке действия, целевой аудитории и URL издателя, а принимающая сторона проверяет токен через метаданные по адресу issuer_url/.well-known/openid-configuration и публичные ключи из JWKS.

Для публично доступных экземпляров плагин автоматически предоставляет необходимые документы, а для инстансов без доступа из интернета позволяет настроить издательский URL и хостить метаданные на публичном HTTPS-хосте без раскрытия самого TeamCity.

Токены подписываются с использованием алгоритмов RSA или ECDSA, а ключи можно ротировать через веб-интерфейс или HTTP-запросы, причём ротация не влияет на уже запущенные сборки. Плагин предоставляет API для расширения функциональности — разработчики могут добавлять поддержку внешних аппаратных модулей безопасности или облачных KMS, например, Google Cloud KMS, через простой интерфейс.

Для начала работы плагин устанавливается из JetBrains Marketplace, требует Java 17 и TeamCity 2025.11 или новее, а конфигурация выполняется в разделе Admin | Integrations | OIDC Tokens.

Доступно две функции сборки: OIDC Token (in build parameters) генерирует токен в начале сборки с временем жизни по умолчанию, равным таймауту сборки или 10 минутам, и позволяет указать одну или несколько аудиторий. Для долгих сборок предусмотрена функция OIDC Token (on demand via HTTP request), которая выдаёт пятиминутные токены по запросу из скриптов сборки, что позволяет получать короткоживущие учётные данные в нужный момент.

Компания подчёркивает, что выбор аудитории и времени жизни зависит от целевого сервиса, и рекомендует обращаться к официальной документации AWS или Google Cloud для точной настройки, а изменения конфигурации могут нарушить существующие интеграции, поэтому настройку плагина советуют выполнять до включения OIDC для сборок.