커스텀 OIDC 토큰 Audience 지원

Vercel의 OIDC 발행자(oidc.vercel.com)가 커스텀 Audience(aud) 지원을 시작했습니다. 이제 배포 시 특정 Audience 클레임을 요청할 수 있어, 서드파티 제공업체와의 서비스 간 인증(Service-to-service authentication)을 더욱 안전하게 수행할 수 있습니다.

기존 Vercel OIDC 토큰은 고정된 Audience를 사용했으나, 새로운 기능을 통해 각 제공업체별로 고유한 Audience를 가진 토큰을 생성할 수 있습니다. 이는 특정 제공업체가 침해되더라도 공격자가 해당 토큰을 다른 서비스에 재사용(Replay attack)하는 것을 방지하는 보안 베스트 프랙티스를 구현하게 해줍니다.

작동 방식 및 특징:

• 토큰 교환 서비스: Vercel 배포 시 발급된 기존 토큰을 입력하면, 대상 서비스의 Audience를 반영하여 서명된 새 토큰을 반환합니다.
• 클레임 유지 및 업데이트: 기존의 프로젝트, 환경, 소유자 정보는 유지하되, aud는 요청된 대상 서비스로, iat(발행 시간)는 현재 시간으로 업데이트됩니다.
• 감사 추적: act(Actor) 클레임을 통해 원본 토큰의 정보를 포함함으로써 인증 위임 과정을 추적할 수 있으며, 선택적으로 jti(JWT ID)를 부여해 고유 식별이 가능합니다.

교환된 토큰은 Vercel의 공개 키를 통해 검증되며, 낮은 지연 시간을 보장하기 위해 모든 Vercel Regions에 복제되어 운영됩니다.