Use o Idira Secure Workload Access (SWA) para fazer chamadas à API da OpenAI sem armazenar uma chave de API da OpenAI. O SWA atribui um ID SPIFFE à sua carga de trabalho e emite um JWT-SVID, um token assinado que representa essa identidade. O SDK da OpenAI troca esse token por um token de acesso da OpenAI de curta duração, com as permissões da conta de serviço mapeada.
Este guia explica como configurar a API da OpenAI. Para usar o Codex, siga as etapas deste guia para disponibilizar o token e depois siga as instruções em Como usar a identidade de carga de trabalho com o Codex.
Você precisa de:
- Uma implantação do SWA com um domínio de confiança e uma política de atestação que atribua o ID SPIFFE esperado à sua carga de trabalho.
- Acesso, a partir da carga de trabalho, ao socket da Workload API do agente do SWA.
- Permissão para gerenciar provedores de identidade de carga de trabalho, mapeamentos de contas de serviço, projetos e contas de serviço na sua organização da OpenAI.
- Um SDK da OpenAI compatível com credenciais de identidade de carga de trabalho.
Conclua a configuração da infraestrutura do SWA seguindo os pré-requisitos do guia do Idira para integração com a OpenAI.
Obtenha os valores de jwt.discovery_endpoints.oidc_discovery_url e jwt.discovery_endpoints.jwks_uri do seu domínio de confiança. Para encontrá-los, siga as instruções do Idira para configurar o OIDC.
A OpenAI precisa conseguir acessar o documento de descoberta e o JWKS via HTTPS sem credenciais. O emissor é a URL HTTPS indicada no campo iss do token. O ID SPIFFE em sub identifica sua carga de trabalho.
Escolha um público específico para o acesso à OpenAI, como https://api.openai.com/v1. Use o mesmo valor ao solicitar o JWT-SVID e ao configurar o provedor na OpenAI. O público identifica o destinatário previsto do token. Ele não define o endpoint de troca de tokens.
Por padrão, o SWA usa RS512 para assinar tokens com uma chave RSA de 4096 bits. O verificador de JWT da OpenAI aceita essa combinação. Para conhecer outras opções de assinatura do SWA, consulte os requisitos de JWT do Idira.
Instale o spiffe-helper no ambiente da carga de trabalho para solicitar e renovar um JWT-SVID junto ao agente do SWA. Salve a configuração a seguir como helper.conf. O utilitário grava o token em /var/run/spiffe/openai.jwt, caminho usado nos exemplos compartilhados de uso do SPIFFE com o SDK:
12345678agent_address = "/tmp/swa-agent/public/api.sock"
cert_dir = "/var/run/spiffe"
daemon_mode = true
jwt_svids = [{
jwt_audience = "https://api.openai.com/v1"
jwt_svid_file_name = "openai.jwt"
}]
No Kubernetes, execute o utilitário como um sidecar no pod da carga de trabalho. Compartilhe um volume emptyDir em memória no caminho /var/run/spiffe e monte o diretório que contém o socket do SWA, /tmp/swa-agent/public, no contêiner do utilitário. Em máquinas virtuais, use /run/swa-agent/api.sock como valor de agent_address e mantenha o diretório do token em um sistema de arquivos em memória. Siga as instruções de implantação do Idira para configurar o acesso ao socket e a atestação.
Antes de iniciar o utilitário, crie o diretório do token e conceda ao utilitário permissão de escrita nesse diretório. Inicie o utilitário com essa configuração no sidecar ou no serviço da máquina virtual:
spiffe-helper -config helper.conf
Restrinja o acesso ao arquivo do token e ao socket do agente aos processos que precisam deles. Mantenha o utilitário em execução para que ele substitua o token antes que expire.
Se a sua linguagem tiver um cliente para a Workload API do SPIFFE, você pode, como alternativa, obter um JWT-SVID atualizado diretamente no provedor de tokens de sujeito. Consulte a opção de acesso direto à Workload API no guia de integração do Idira.
No ambiente da carga de trabalho, carregue o token em uma variável de ambiente para que o decodificador local possa lê-lo:
export TOKEN="$(cat /var/run/spiffe/openai.jwt)"
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25const parts = process.env.TOKEN?.split(".") ?? [];
if (parts.length !== 3) {
throw new Error("Expected a compact JWT with three segments");
}
const decode = (segment) => {
if (!/^[A-Za-z0-9_-]+$/.test(segment) || segment.length % 4 === 1) {
throw new Error("JWT segment is not valid Base64URL");
}
const bytes = Buffer.from(segment, "base64url");
if (bytes.toString("base64url") !== segment) {
throw new Error("JWT segment is not valid Base64URL");
}
const decoded = new TextDecoder("utf-8", { fatal: true }).decode(bytes);
const value = JSON.parse(decoded);
if (value === null || Array.isArray(value) || typeof value !== "object") {
throw new Error("JWT segment is not a JSON object");
}
return decoded;
};
console.log("Header:");
console.log(decode(parts[0]));
console.log("\nPayload:");
console.log(decode(parts[1]));
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33import base64
import json
import os
import re
def reject_non_json_constant(value):
raise ValueError(f"JWT segment contains non-JSON constant: {value}")
parts = os.environ.get("TOKEN", "").split(".")
if len(parts) != 3:
raise ValueError("Expected a compact JWT with three segments")
def decode(segment):
if re.fullmatch(r"[A-Za-z0-9_-]+", segment) is None or len(segment) % 4 == 1:
raise ValueError("JWT segment is not valid Base64URL")
padded_segment = segment + "=" * (-len(segment) % 4)
decoded = base64.b64decode(padded_segment, altchars=b"-_", validate=True)
if base64.urlsafe_b64encode(decoded).rstrip(b"=").decode("ascii") != segment:
raise ValueError("JWT segment is not valid Base64URL")
decoded_text = decoded.decode("utf-8")
value = json.loads(decoded_text, parse_constant=reject_non_json_constant)
if not isinstance(value, dict):
raise ValueError("JWT segment is not a JSON object")
return decoded_text
print("Header:")
print(decode(parts[0]))
print("\nPayload:")
print(decode(parts[1]))
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84package main
import (
"bytes"
"encoding/base64"
"encoding/json"
"fmt"
"os"
"strings"
"unicode/utf8"
)
func decodeSegment(segment string) (json.RawMessage, error) {
if !isBase64URLSegment(segment) {
return nil, fmt.Errorf("JWT segment is not valid Base64URL")
}
decoded, err := base64.RawURLEncoding.DecodeString(segment)
if err != nil {
return nil, err
}
if base64.RawURLEncoding.EncodeToString(decoded) != segment {
return nil, fmt.Errorf("JWT segment is not valid Base64URL")
}
if !utf8.Valid(decoded) {
return nil, fmt.Errorf("JWT segment is not valid UTF-8")
}
var value json.RawMessage
if err := json.Unmarshal(decoded, &value); err != nil {
return nil, err
}
if trimmed := bytes.TrimSpace(value); len(trimmed) == 0 || trimmed[0] != '{' {
return nil, fmt.Errorf("JWT segment is not a JSON object")
}
return value, nil
}
func isBase64URLSegment(segment string) bool {
if segment == "" || len(segment)%4 == 1 {
return false
}
for _, character := range segment {
if !('A' <= character && character <= 'Z') &&
!('a' <= character && character <= 'z') &&
!('0' <= character && character <= '9') &&
character != '-' &&
character != '_' {
return false
}
}
return true
}
func printJSON(label string, value json.RawMessage) error {
formatted, err := json.MarshalIndent(value, "", " ")
if err != nil {
return err
}
fmt.Printf("%s:\n%s\n", label, formatted)
return nil
}
func main() {
parts := strings.Split(os.Getenv("TOKEN"), ".")
if len(parts) != 3 {
panic("Expected a compact JWT with three segments")
}
header, err := decodeSegment(parts[0])
if err != nil {
panic(err)
}
payload, err := decodeSegment(parts[1])
if err != nil {
panic(err)
}
if err := printJSON("Header", header); err != nil {
panic(err)
}
fmt.Println()
if err := printJSON("Payload", payload); err != nil {
panic(err)
}
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80// Add Jackson (com.fasterxml.jackson.core:jackson-databind) to your project.
import com.fasterxml.jackson.databind.DeserializationFeature;
import com.fasterxml.jackson.databind.JsonNode;
import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;
import java.nio.ByteBuffer;
import java.nio.charset.CharacterCodingException;
import java.nio.charset.CodingErrorAction;
import java.nio.charset.StandardCharsets;
import java.util.Base64;
public final class DecodeJwtExample {
private static final ObjectMapper JSON =
new ObjectMapper().enable(DeserializationFeature.FAIL_ON_TRAILING_TOKENS);
private DecodeJwtExample() {}
static String decodeUtf8(byte[] bytes) throws IOException {
try {
return StandardCharsets.UTF_8
.newDecoder()
.onMalformedInput(CodingErrorAction.REPORT)
.onUnmappableCharacter(CodingErrorAction.REPORT)
.decode(ByteBuffer.wrap(bytes))
.toString();
} catch (CharacterCodingException exception) {
throw new IOException("JWT segment is not valid UTF-8", exception);
}
}
static String decodeSegment(String segment) throws IOException {
if (!isBase64UrlSegment(segment)) {
throw new IllegalArgumentException("JWT segment is not valid Base64URL");
}
byte[] bytes = Base64.getUrlDecoder().decode(segment);
if (!Base64.getUrlEncoder().withoutPadding().encodeToString(bytes).equals(segment)) {
throw new IllegalArgumentException("JWT segment is not valid Base64URL");
}
String decoded = decodeUtf8(bytes);
JsonNode value = JSON.readTree(decoded);
if (value == null || value.isMissingNode() || !value.isObject()) {
throw new IOException("JWT segment is not a JSON object");
}
return decoded;
}
static boolean isBase64UrlSegment(String segment) {
if (segment.isEmpty() || segment.length() % 4 == 1) {
return false;
}
return segment
.chars()
.allMatch(
character ->
character >= 'A' && character <= 'Z'
|| character >= 'a' && character <= 'z'
|| character >= '0' && character <= '9'
|| character == '-'
|| character == '_');
}
static String[] requireCompactJwt(String token) {
if (token == null) {
throw new IllegalArgumentException("Expected a compact JWT with three segments");
}
String[] parts = token.split("\\.", -1);
if (parts.length != 3) {
throw new IllegalArgumentException("Expected a compact JWT with three segments");
}
return parts;
}
public static void main(String[] args) throws IOException {
String[] parts = requireCompactJwt(System.getenv("TOKEN"));
System.out.println("Header:");
System.out.println(decodeSegment(parts[0]));
System.out.println("\nPayload:");
System.out.println(decodeSegment(parts[1]));
}
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62using System.Text;
using System.Text.Json;
static string DecodeSegment(string segment)
{
if (
segment.Length % 4 == 1 ||
segment.Any(
character =>
!(
character is >= 'A' and <= 'Z' ||
character is >= 'a' and <= 'z' ||
character is >= '0' and <= '9' ||
character is '-' or '_'
)
)
)
{
throw new FormatException("JWT segment is not valid Base64URL");
}
byte[] decoded = Convert.FromBase64String(
segment.Replace('-', '+').Replace('_', '/') +
new string('=', (4 - segment.Length % 4) % 4)
);
string canonicalSegment = Convert
.ToBase64String(decoded)
.TrimEnd('=')
.Replace('+', '-')
.Replace('/', '_');
if (canonicalSegment != segment)
{
throw new FormatException("JWT segment is not valid Base64URL");
}
string decodedJson = new UTF8Encoding(false, true).GetString(decoded);
using JsonDocument document = JsonDocument.Parse(decodedJson);
if (document.RootElement.ValueKind is not JsonValueKind.Object)
{
throw new FormatException("JWT segment is not a JSON object");
}
return decodedJson;
}
string? token = Environment.GetEnvironmentVariable("TOKEN");
if (token is null)
{
throw new InvalidOperationException(
"Expected a compact JWT with three segments"
);
}
string[] parts = token.Split('.');
if (parts.Length != 3)
{
throw new InvalidOperationException(
"Expected a compact JWT with three segments"
);
}
Console.WriteLine("Header:");
Console.WriteLine(DecodeSegment(parts[0]));
Console.WriteLine("\nPayload:");
Console.WriteLine(DecodeSegment(parts[1]));
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34require "base64"
require "json"
parts = ENV.fetch("TOKEN", "").split(".", -1)
raise "Expected a compact JWT with three segments" unless parts.length == 3
decode = lambda do |segment|
unless segment.match?(/\A[A-Za-z0-9_-]+\z/) && segment.length % 4 != 1
raise "JWT segment is not valid Base64URL"
end
padded = segment.ljust((segment.length + 3) & ~3, "=")
begin
decoded = Base64.urlsafe_decode64(padded)
rescue ArgumentError
raise "JWT segment is not valid Base64URL"
end
unless Base64.urlsafe_encode64(decoded, padding: false) == segment
raise "JWT segment is not valid Base64URL"
end
decoded.force_encoding(Encoding::UTF_8)
raise "JWT segment is not valid UTF-8" unless decoded.valid_encoding?
value = JSON.parse(decoded)
raise "JWT segment is not a JSON object" unless value.is_a?(Hash)
decoded
end
puts("Header:")
puts(decode.call(parts[0]))
puts("\nPayload:")
puts(decode.call(parts[1]))
Confira estes campos antes de criar o provedor na OpenAI:
| Campo |
Valor esperado |
Campo alg do cabeçalho |
O algoritmo de assinatura configurado, como RS512. |
Campo kid do cabeçalho |
O ID de uma chave de assinatura presente no JWKS público do domínio de confiança. |
iss |
A URL HTTPS do emissor do domínio de confiança. |
sub |
O ID SPIFFE atribuído a esta carga de trabalho. |
aud |
Contém o público que você escolheu para acessar a OpenAI. |
iat e exp |
Os horários de emissão e expiração do token. Use um token que ainda esteja válido. |
O decodificador lê os campos do token sem verificar a assinatura. Não registre o token em logs nem o cole em um decodificador online. Após a inspeção, remova a variável de ambiente TOKEN.
Acesse Configurações da organização > Segurança > Provedor de identidade de carga de trabalho e crie um provedor com as seguintes configurações:
| Configuração |
Valor |
| Nome |
Um nome exclusivo, como idira-prod. |
| Descrição |
O aplicativo e o ambiente que usam este provedor. |
| URL do emissor OIDC |
O valor de iss do JWT-SVID. |
| Público |
O público solicitado pelo utilitário, como https://api.openai.com/v1. |
| Usar o JWKS enviado para verificar tokens |
Mantenha esta opção desativada para usar a descoberta OIDC. |
| Transformações de atributos |
Deixe em branco se o mapeamento usar diretamente o valor de sub. |
Na troca de tokens da API da OpenAI, a comparação das URLs do emissor ignora as barras finais. Por exemplo, https://issuer.example.com e https://issuer.example.com/ são equivalentes. Todos os demais caracteres devem coincidir, inclusive os do esquema e do caminho. Os valores do público devem coincidir exatamente. Para manter a configuração consistente, copie a URL do emissor exatamente como aparece no token.
Se a OpenAI não conseguir acessar o documento de descoberta ou o JWKS, siga as orientações gerais de configuração do provedor para usar um JWKS público enviado por upload. Atualize as chaves enviadas quando o SWA fizer a rotação das chaves de assinatura.
- Crie um mapeamento de conta de serviço no provedor e dê a ele um nome, como
idira-production-workload.
- Em Chave, insira
sub. Em Valor, insira o ID SPIFFE exatamente como aparece no token da carga de trabalho, por exemplo, spiffe://prod.example.com/k8s-nodegroup/ns/my-namespace/sa/my-service-account.
- Selecione o Projeto e a Conta de serviço que a carga de trabalho pode usar.
- Selecione as Permissões de que a carga de trabalho precisa, como
api.model.request para fazer solicitações a modelos. Essas permissões podem restringir o acesso concedido à conta de serviço, mas não podem ampliá-lo. Se você deixar o campo de permissões em branco, o mapeamento não acrescentará nenhuma restrição específica da federação de identidades de carga de trabalho (WIF).
Use uma conta de serviço separada para cada aplicativo e ambiente. Prefira o ID SPIFFE exato. Use um curinga no final do ID somente se todas as identidades com esse prefixo precisarem receber o mesmo acesso. Evite mapeamentos sobrepostos. Para mais detalhes, consulte Mapeamentos de contas de serviço com SPIFFE.
Defina os IDs do provedor da OpenAI e da conta de serviço selecionada no ambiente da carga de trabalho:
export OPENAI_IDENTITY_PROVIDER_ID="<workload identity provider ID>"
export OPENAI_SERVICE_ACCOUNT_ID="<service account ID>"
Os exemplos compartilhados de uso do SPIFFE a seguir leem o arquivo /var/run/spiffe/openai.jwt. O provedor de tokens de sujeito retorna o token atual sempre que o SDK precisa trocá-lo por um token de acesso da OpenAI ou renovar esse token de acesso. O SWA e o utilitário renovam o JWT-SVID externo. O SDK da OpenAI gerencia o token de acesso da OpenAI.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40import { readFile } from "node:fs/promises";
import OpenAI from "openai";
const tokenPath = "/var/run/spiffe/openai.jwt";
const identityProviderId = process.env.OPENAI_IDENTITY_PROVIDER_ID;
const serviceAccountId = process.env.OPENAI_SERVICE_ACCOUNT_ID;
if (!identityProviderId || !serviceAccountId) {
throw new Error(
"Set OPENAI_IDENTITY_PROVIDER_ID and OPENAI_SERVICE_ACCOUNT_ID"
);
}
function spiffeJwtSvidProvider(path) {
return {
tokenType: "jwt",
getToken: async () => {
const token = (await readFile(path, "utf8")).trim();
if (!token) {
throw new Error("The SPIFFE JWT-SVID file is empty.");
}
return token;
},
};
}
const client = new OpenAI({
workloadIdentity: {
identityProviderId,
serviceAccountId,
provider: spiffeJwtSvidProvider(tokenPath),
},
});
const response = await client.responses.create({
model: "gpt-5.6-terra",
input: "Say hello from SPIFFE workload identity federation.",
});
console.log(response.output_text);
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33import os
from pathlib import Path
from openai import OpenAI
from openai.auth import SubjectTokenProvider
TOKEN_PATH = "/var/run/spiffe/openai.jwt"
def spiffe_jwt_svid_provider(token_path: str) -> SubjectTokenProvider:
def get_token() -> str:
token = Path(token_path).read_text().strip()
if not token:
raise RuntimeError("The SPIFFE JWT-SVID file is empty.")
return token
return {"token_type": "jwt", "get_token": get_token}
client = OpenAI(
workload_identity={
"identity_provider_id": os.environ["OPENAI_IDENTITY_PROVIDER_ID"],
"service_account_id": os.environ["OPENAI_SERVICE_ACCOUNT_ID"],
"provider": spiffe_jwt_svid_provider(TOKEN_PATH),
},
)
response = client.responses.create(
model="gpt-5.6-terra",
input="Say hello from SPIFFE workload identity federation.",
)
print(response.output_text)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69package main
import (
"context"
"fmt"
"log"
"os"
"strings"
"github.com/openai/openai-go/v3"
"github.com/openai/openai-go/v3/auth"
"github.com/openai/openai-go/v3/option"
"github.com/openai/openai-go/v3/responses"
)
const tokenPath = "/var/run/spiffe/openai.jwt"
type spiffeJWTSVIDProvider struct {
path string
}
func (p spiffeJWTSVIDProvider) TokenType() auth.SubjectTokenType {
return auth.SubjectTokenTypeJWT
}
func (p spiffeJWTSVIDProvider) GetToken(ctx context.Context, _ auth.HTTPDoer) (string, error) {
data, err := os.ReadFile(p.path)
if err != nil {
return "", &auth.SubjectTokenProviderError{
Provider: "spiffe",
Message: "failed to read SPIFFE JWT-SVID",
Cause: err,
}
}
token := strings.TrimSpace(string(data))
if token == "" {
return "", &auth.SubjectTokenProviderError{
Provider: "spiffe",
Message: "SPIFFE JWT-SVID file is empty",
}
}
return token, nil
}
func main() {
client := openai.NewClient(
option.WithWorkloadIdentity(auth.WorkloadIdentity{
IdentityProviderID: os.Getenv("OPENAI_IDENTITY_PROVIDER_ID"),
ServiceAccountID: os.Getenv("OPENAI_SERVICE_ACCOUNT_ID"),
Provider: spiffeJWTSVIDProvider{
path: tokenPath,
},
}),
)
response, err := client.Responses.New(context.Background(), responses.ResponseNewParams{
Model: openai.ChatModelGPT4_1Mini,
Input: responses.ResponseNewParamsInputUnion{
OfString: openai.String("Say hello from SPIFFE workload identity federation."),
},
})
if err != nil {
log.Fatal(err)
}
fmt.Println(response.OutputText())
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75import com.fasterxml.jackson.databind.json.JsonMapper;
import com.openai.auth.SubjectTokenProvider;
import com.openai.auth.SubjectTokenType;
import com.openai.auth.WorkloadIdentity;
import com.openai.client.OpenAIClient;
import com.openai.client.okhttp.OpenAIOkHttpClient;
import com.openai.core.http.HttpClient;
import com.openai.errors.SubjectTokenProviderException;
import com.openai.models.responses.ResponseCreateParams;
import java.nio.file.Files;
import java.nio.file.Path;
import java.util.concurrent.CompletableFuture;
public final class SpiffeWorkloadIdentityExample {
private static final String TOKEN_PATH = "/var/run/spiffe/openai.jwt";
private SpiffeWorkloadIdentityExample() {}
static final class SpiffeJwtSvidProvider implements SubjectTokenProvider {
private final Path tokenPath;
SpiffeJwtSvidProvider(String tokenPath) {
this.tokenPath = Path.of(tokenPath);
}
@Override
public SubjectTokenType tokenType() {
return SubjectTokenType.JWT;
}
@Override
public String getToken(HttpClient httpClient, JsonMapper jsonMapper) {
String token;
try {
token = Files.readString(tokenPath).trim();
} catch (Exception e) {
throw new SubjectTokenProviderException("spiffe", "failed to read SPIFFE JWT-SVID", e);
}
if (token.isEmpty()) {
throw new SubjectTokenProviderException("spiffe", "SPIFFE JWT-SVID file is empty", null);
}
return token;
}
@Override
public CompletableFuture<String> getTokenAsync(HttpClient httpClient, JsonMapper jsonMapper) {
return CompletableFuture.supplyAsync(() -> getToken(httpClient, jsonMapper));
}
}
public static void main(String[] args) {
WorkloadIdentity workloadIdentity =
WorkloadIdentity.builder()
.identityProviderId(System.getenv("OPENAI_IDENTITY_PROVIDER_ID"))
.serviceAccountId(System.getenv("OPENAI_SERVICE_ACCOUNT_ID"))
.provider(new SpiffeJwtSvidProvider(TOKEN_PATH))
.build();
OpenAIClient client = OpenAIOkHttpClient.builder().workloadIdentity(workloadIdentity).build();
ResponseCreateParams params =
ResponseCreateParams.builder()
.model("gpt-5.6-terra")
.input("Say hello from SPIFFE workload identity federation.")
.build();
client.responses().create(params).output().stream()
.flatMap(item -> item.message().stream())
.flatMap(message -> message.content().stream())
.flatMap(content -> content.outputText().stream())
.forEach(outputText -> System.out.println(outputText.text()));
}
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49require "openai"
TOKEN_PATH = "/var/run/spiffe/openai.jwt"
class SpiffeJWTSVIDProvider
include OpenAI::Auth::SubjectTokenProvider
def initialize(token_path:)
@token_path = token_path
end
def token_type
OpenAI::Auth::TokenType::JWT
end
def get_token
token = File.read(@token_path).strip
if token.empty?
raise OpenAI::Errors::SubjectTokenProviderError.new(
message: "SPIFFE JWT-SVID file is empty",
provider: "spiffe"
)
end
token
rescue SystemCallError => e
raise OpenAI::Errors::SubjectTokenProviderError.new(
message: "Failed to read SPIFFE JWT-SVID: #{e.message}",
provider: "spiffe",
cause: e
)
end
end
provider = SpiffeJWTSVIDProvider.new(token_path: TOKEN_PATH)
workload_identity = OpenAI::Auth::WorkloadIdentity.new(
identity_provider_id: ENV.fetch("OPENAI_IDENTITY_PROVIDER_ID"),
service_account_id: ENV.fetch("OPENAI_SERVICE_ACCOUNT_ID"),
provider: provider
)
client = OpenAI::Client.new(workload_identity: workload_identity)
response = client.responses.create(
model: "gpt-5.6-terra",
input: "Say hello from SPIFFE workload identity federation."
)
puts(response.output_text)
Execute o exemplo na carga de trabalho atestada, com a variável OPENAI_API_KEY indefinida. Se a solicitação for bem-sucedida, o exemplo exibirá a resposta do modelo. Confirme que as solicitações continuam funcionando depois que o utilitário substitui o JWT-SVID e o SDK renova o token de acesso da OpenAI.
| Sintoma |
O que verificar |
| O utilitário não recebe nenhuma identidade |
Verifique se a carga de trabalho atende aos critérios da política de atestação do SWA e consegue acessar o socket do agente. Faça essas verificações no contexto da carga de trabalho. |
| O arquivo do token não existe, está vazio ou contém um token expirado |
Verifique se o utilitário está em execução, se o volume compartilhado e o caminho do arquivo correspondem aos configurados e se a carga de trabalho consegue ler o arquivo. Mantenha os relógios dos hosts sincronizados. |
| A verificação do token falha |
Confira os valores de iss, aud e kid, a validade do token e se a OpenAI consegue acessar o documento de descoberta e o JWKS. Aplique a regra de comparação do emissor descrita anteriormente. |
| Nenhum mapeamento de conta de serviço corresponde ao token |
Confira o ID do provedor, o ID da conta de serviço, o mapeamento habilitado e o valor exato de sub. |
| Mais de um mapeamento corresponde ao token |
Restrinja ou desative os mapeamentos sobrepostos para que apenas um mapeamento habilitado corresponda ao token. |
| A troca de tokens funciona, mas a API rejeita a solicitação |
Confira o projeto e as permissões da conta de serviço mapeada, além das políticas de acesso à API aplicáveis. |
Para diagnosticar problemas na implantação do SWA, consulte as orientações do Idira para solucionar problemas de integração.
