您的平台团队希望移除 CI/CD 和集群内访问 Azure 资源的长期凭证。GitHub Actions 必须在没有客户端密钥的情况下将 Bicep 模板部署到 Azure，并且 AKS 工作负载必须在不存储服务主体密钥的情况下访问 Key Vault 和 Storage。您应该配置什么？每个正确答案都代表解决方案的一部分。

第一个正确选项描述了 GitHub Actions 无密钥访问 Azure 的方法。通过在 Entra ID 中创建应用注册并配置联合凭证，GitHub Actions 可以使用 OpenID Connect (OIDC) 直接从 Entra ID 获取短期令牌，而无需存储长期客户端密钥。azure/login 操作支持 OIDC。 第二个正确选项描述了 AKS 工作负载无密钥访问 Azure 资源的方法。Azure AD Workload Identity 允许 Kubernetes 服务帐户与 Entra ID 应用程序关联，从而使 Pod 能够使用 Entra ID 身份验证访问 Azure 资源，而无需在 Pod 或 Key Vault 中存储任何凭据。 其他选项不正确： 生成 GitHub PAT 并将其存储为仓库密钥：PAT 是一种长期凭证，与无密钥访问的目标相悖。 使用旧版 AAD Pod Identity 插件：AAD Pod Identity 已被 Azure AD Workload Identity 取代，不推荐用于新集群。 创建带有证书的服务主体：证书也是一种长期凭证，需要管理和轮换，与无密钥访问的目标相悖。