Oidc | inetshell

GitHub Actions → Google Cloud sin llaves: Workload Identity Federation con gcloud y Terraform

Pool + proveedor OIDC con issuer token.actions.githubusercontent.com y attribute-condition por repository_owner; roles/iam.workloadIdentityUser al principalSet del repo; auth@v3 con workload_identity_provider y service_account. Sin secretos que rotar.

Proxmox VE con Keycloak: login por OpenID Connect (realm openid)

Cliente OIDC confidencial en Keycloak, pveum realm add –type openid con preferred_username como username-claim, autocreate y ACLs. Las guías viejas con /auth/realms/ y un mapper ‘username’ ya no hacen falta.