GitHub ActionsとAWSのOIDC連携によるAssume Roleが”OpenIDConnect provider’s HTTPS certificate doesn’t match configured thumbprint”エラーとなる

若槻龍太

2022.11.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、CX事業本部 IoT事業部の若槻です。

今回は、GitHub ActionsとAWSのOIDC連携によるAssume RoleがOpenIDConnect provider's HTTPS certificate doesn't match configured thumbprintエラーとなる際の対処についてです。

事象

GitHub ActionsではOIDC（OpenID Connect）がサポートされ、OIDCプロバイダーとしてAWSなどの各種クラウドサービスと連携可能となりました。

Configuring OpenID Connect in Amazon Web Services - GitHub Docs

OIDC連携を設定したAWSとのAssumeRoleを行う次のようなGitHub Actions Workflowを作成しました。

on:
  issues:
    types:
      - assigned
      - opened

jobs:
  create_pr:
    runs-on: ubuntu-latest
    env:
      REPO: ${{ github.repository }}
      ISSUE_NUM: ${{ github.event.issue.number }}
      ISSUE_TITLE: ${{ github.event.issue.title }}
      GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      AWS_OIDC_ROLE_ARN: ${{ secrets.AWS_OIDC_ROLE_ARN }}
      AWS_REGION: ap-northeast-1
    permissions:
      id-token: write
      issues: write
      contents: write
      pull-requests: write
    steps:
      #中略
      - name: Assume Role
        uses: aws-actions/configure-aws-credentials@v1
        with:
          role-to-assume: ${{ env.AWS_OIDC_ROLE_ARN }}
          aws-region: ${{ env.AWS_REGION }}

      #中略

上記のWorkflowは昨日までは正常に動作していたのですが、本日実行すると、下記のエラーが発生するようになりました。

Error: OpenIDConnect provider's HTTPS certificate doesn't match configured thumbprint

原因調査

調べてみると、今年1月にGitHubによる以下のアナウンスがありました。GitHub ActionsのSSL証明書の更新作業時に、中間認証局で予期せぬ更新が行われため、OIDCプロバイダー側で新しいthumbprintである6938fd4d98bab03faadb97b34396831e3780aea1の追加が必要とのことです。

GitHub Actions - Update on OIDC based deployments to AWS | GitHub Changelog

While renewing GitHub Actions SSL certificates, an unexpected change in the intermediate certificate authority broke workflows using Open ID Connect (OIDC) based deployment to AWS.

To fix the issue please follow the following steps:

In the AWS Console, go to IAM -> Identity Providers

Open the provider(s) for token.actions.githubusercontent.com

Click Manage under Thumbprints

Add the thumbprint 6938fd4d98bab03faadb97b34396831e3780aea1

We’re continuing to investigate, to ensure this issue does not reoccur in the future.

AWS IAMに登録されているGitHubのOIDCプロバイダーを確認してみます。