Os pipelines de CI/CD de uma empresa no GitHub Actions atualmente usam a chave secreta de longa duração de um usuário IAM para chamar a AWS. Existe uma função IAM com as permissões necessárias. A equipe de segurança agora proíbe chaves secretas de longa duração para pipelines. Qual método de autenticação de curta duração atende ao requisito com o menor overhead operacional?

A opção correta é criar um provedor de identidade (IdP) OpenID Connect (OIDC) no IAM para o GitHub e uma nova função IAM com uma política de confiança que permita sts:AssumeRoleWithWebIdentity do IdP OIDC do GitHub. O OIDC permite que o GitHub Actions assuma uma função IAM diretamente, sem a necessidade de chaves de acesso de longa duração, usando tokens de curta duração emitidos pelo GitHub. Isso atende ao requisito de segurança com o menor overhead operacional, pois é uma integração nativa e segura. A opção SAML 2.0 é mais complexa e geralmente usada para federação de usuários, não para cargas de trabalho de CI/CD. O Amazon Cognito é um serviço de diretório de usuários e federação de identidade, mais adequado para autenticação de usuários finais em aplicações, não para pipelines de CI/CD. O IAM Roles Anywhere é para cargas de trabalho fora da AWS que não podem usar OIDC, exigindo gerenciamento de certificados, o que adiciona complexidade desnecessária para o GitHub Actions.