Letra ChicaSeguridad● verificado hace 34 días◌ sin revisor externo
Sin attribute_condition, el issuer compartido de GitHub deja entrar a cualquier repo
GitHub usa un solo issuer para todos sus clientes, así que validar el issuer no alcanza. Google exige una condición que restrinja los tokens a tu organización o repositorio. En Terraform el campo figura como opcional y, sin condición, se acepta toda credencial válida del issuer. Además, todo claim que uses en la condición o en un principalSet tiene que estar mapeado en attribute_mapping.