一家公司的 GitHub Actions CI/CD 流水线目前使用 IAM 用户的长期密钥来调用 AWS。一个具有所需权限的现有 IAM 角色已经存在。安全团队现在禁止在流水线中使用长期密钥。哪种短期身份验证方法能以最少的操作开销满足要求？

正确答案是使用 IAM OIDC 身份提供商。GitHub Actions 原生支持 OIDC，允许流水线直接向 AWS 请求临时凭证，而无需存储长期密钥。这通过在 IAM 中创建 OIDC IdP 并配置信任策略来允许 GitHub 的 OIDC 身份验证来完成，从而实现 sts:AssumeRoleWithWebIdentity。这是最少操作开销的方法，因为 GitHub Actions 本身就支持这种集成。 其他选项的缺点： IAM SAML 2.0 IdP：虽然 SAML 也是一种联合身份验证方法，但 GitHub Actions 对 OIDC 有更直接和简化的支持，SAML 通常需要额外的配置或中间层。 Amazon Cognito 身份池：Cognito 主要用于面向用户的应用程序身份验证，而不是 CI/CD 流水线。它会引入不必要的复杂性和开销。 IAM Roles Anywhere：IAM Roles Anywhere 旨在用于本地服务器或非 AWS 环境，需要管理证书和信任锚，对于 GitHub Actions 来说过于复杂且不必要。