AWS Workload Identity (اتحاد OIDC)

Documentation Index

Fetch the complete documentation index at: https://docs.crewai.com/llms.txt

Use this file to discover all available pages before exploring further.

​

نظرة عامة

​

كيف يعمل وقت التشغيل

1. يطلب عامل النشر JWT OIDC طازج من CrewAI Platform.
2. يستدعي العامل sts:AssumeRoleWithWebIdentity على دور IAM الذي ستُعدّه أدناه، مُقدِّماً الـ JWT.
3. تتحقق AWS STS من الـ JWT مقابل مُصدر OIDC العام لـ CrewAI Platform (لذا يجب أن يكون تنصيب منصتك قابلاً للوصول من AWS)، ثم تُعيد بيانات اعتماد AWS قصيرة الأمد.
4. يستخدم العامل تلك البيانات لاستدعاء secretsmanager:GetSecretValue.
5. تُحقن القيمة المجلوبة كقيمة لمتغير البيئة لإطلاق الأتمتة ذاك.

​

المتطلبات المسبقة

​

الخطوة 1 — العثور على عنوان مُصدر OIDC لـ CrewAI Platform

https://<your-platform-host>/.well-known/openid-configuration

{
  "issuer": "https://<your-platform-host>",
  "jwks_uri": "https://<your-platform-host>/oauth2/jwks",
  ...
}

​

الخطوة 2 — تسجيل CrewAI Platform كمزود هوية OIDC في IAM

• Provider type: OpenID Connect.
• Provider URL: قيمة issuer من الخطوة 1 (مثلاً https://app.crewai.com).
• Audience: sts.amazonaws.com

aws iam create-open-id-connect-provider \
  --url "https://<your-platform-host>" \
  --client-id-list "sts.amazonaws.com" \
  --thumbprint-list "$(echo | openssl s_client -servername <your-platform-host> -connect <your-platform-host>:443 2>/dev/null | openssl x509 -fingerprint -noout -sha1 | cut -d= -f2 | tr -d ':')"

​

الخطوة 3 — إنشاء دور IAM

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::<YOUR_ACCOUNT_ID>:oidc-provider/<your-platform-host>"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "<your-platform-host>:aud": "sts.amazonaws.com",
          "<your-platform-host>:sub": "organization:<YOUR_CREWAI_ORG_UUID>"
        }
      }
    }
  ]
}

aws iam create-role \
  --role-name crewai-secrets-reader \
  --assume-role-policy-document file://trust-policy.json

​

الخطوة 4 — إنشاء وإرفاق سياسة IAM لوصول Secrets Manager + KMS

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecretsManagerListForUI",
      "Effect": "Allow",
      "Action": "secretsmanager:ListSecrets",
      "Resource": "*"
    },
    {
      "Sid": "SecretsManagerRead",
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:<REGION>:<YOUR_ACCOUNT_ID>:secret:<SECRET_NAME_PREFIX>-*"
    },
    {
      "Sid": "KMSDecrypt",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:<REGION>:<YOUR_ACCOUNT_ID>:key/<KMS_KEY_ID>"
    }
  ]
}

aws iam put-role-policy \
  --role-name crewai-secrets-reader \
  --policy-name SecretsManagerRead \
  --policy-document file://secrets-policy.json

POLICY_ARN=$(aws iam create-policy \
  --policy-name CrewAISecretsReader \
  --policy-document file://secrets-policy.json \
  --query 'Policy.Arn' --output text)

aws iam attach-role-policy \
  --role-name crewai-secrets-reader \
  --policy-arn "$POLICY_ARN"

​

الخطوة 5 — إنشاء سر واحد على الأقل في AWS

aws secretsmanager create-secret \
  --region <REGION> \
  --name crewai-test-keyword \
  --secret-string "hello from aws"

​

الخطوة 6 — إضافة تكوين Workload Identity في CrewAI Platform

• Name: اسم وصفي، مثلاً aws-prod.
• Cloud Provider: AWS.
• AWS Role ARN: Role Arn من الخطوة 3.
• AWS Region: المنطقة التي تعيش فيها أسرارك، مثلاً us-east-1.
• (اختياري) حدّد Set as default for AWS إذا كنت ترغب في أن يكون تكوين WI هذا هو الافتراضي المُحدَّد عند إنشاء بيانات اعتماد سر مدعومة بـ AWS.

​

الخطوة 7 — إضافة بيانات اعتماد مزود أسرار مرتبطة بتكوين WI

• Name: اسم وصفي، مثلاً aws-prod-wi.
• Provider: AWS Secrets Manager.
• Authentication Method: Workload Identity (بدلاً من المفاتيح الثابتة / AssumeRole).
• Workload Identity Configuration: اختر التكوين الذي أنشأته في الخطوة 6 (مثلاً aws-prod).
• (اختياري) حدّد Set as default credential for this provider.

​

الخطوة 8 — اختبار الاتصال

​

الخطوة 9 — الإشارة إلى السر في متغير بيئة

• مدعوم بـ WI: تُقرأ قيمة السر طازجة في كل إطلاق أتمتة.
• مدعوم بمفاتيح ثابتة: تُقرأ قيمة السر وقت النشر وتُدمج في صورة النشر.

​

الخطوة 10 — التحقق من التدوير

aws secretsmanager update-secret \
  --region <REGION> \
  --secret-id crewai-test-keyword \
  --secret-string "rotated value"

Workload identity config '<id>' (aws): N secret(s) resolved

​

استكشاف الأخطاء

​

روابط مرجعية

• AWS: Creating OpenID Connect (OIDC) identity providers
• AWS: Configuring a role for OpenID Connect federation
• AWS: STS:AssumeRoleWithWebIdentity API reference

​

الخطوات التالية

• استخدام الأسرار في متغيرات البيئة وإدارة الأذونات
• للتنوع متعدد السحاب، راجع أيضاً GCP Workload Identity Federation و Azure Workload Identity Federation.