ある企業は、GitHub Actions から Google Cloud の API を呼ぶために Workload Identity Federation を構成した。pool と provider を作り、トークンの中身の読み替えも済ませた。ところが、構成をレビューしたセキュリティ担当から、このままでは自社以外の GitHub リポジトリからもトークンを交換できると指摘された。重大な脆弱性につながる設定漏れはどれか。