Die CI/CD-Pipelines eines Unternehmens in GitHub Actions verwenden derzeit den langlebigen geheimen Schlüssel eines IAM-Benutzers, um AWS aufzurufen. Eine bestehende IAM-Rolle mit den erforderlichen Berechtigungen existiert bereits. Das Sicherheitsteam verbietet nun langlebige geheime Schlüssel für Pipelines. Welche kurzlebige Authentifizierungsmethode erfüllt die Anforderung mit dem geringsten Betriebsaufwand?

Die korrekte Antwort ist die Verwendung eines IAM OpenID Connect (OIDC) Identity Providers (IdP) für GitHub. GitHub Actions unterstützt OIDC, wodurch die Pipeline direkt eine temporäre Rolle in AWS annehmen kann, ohne langlebige Anmeldeinformationen speichern zu müssen. Dies ist die empfohlene Methode für kurzlebige Anmeldeinformationen in CI/CD-Pipelines und bietet den geringsten Betriebsaufwand, da keine Schlüsselrotation oder -verwaltung erforderlich ist. Die Option mit SAML 2.0 ist weniger ideal, da GitHub Actions nativ OIDC für diese Art der Integration bevorzugt, was eine direktere und einfachere Konfiguration ermöglicht. Amazon Cognito ist für die Authentifizierung von Endbenutzern konzipiert, nicht für CI/CD-Pipelines, und würde einen unnötigen Overhead hinzufügen. IAM Roles Anywhere ist für On-Premises-Server oder andere Nicht-AWS-Umgebungen gedacht, die Client-Zertifikate verwenden, und ist für GitHub Actions nicht die primäre oder effizienteste Lösung.