配置 JWT 认证、只读策略和受项目及标签约束的角色，让 GitLab Runner 用 ID token 读取 Vault 字段，并核对文件模式、引擎路径和私有 CA。