Ihr Plattformteam möchte langlebige Anmeldeinformationen für CI/CD und den Zugriff innerhalb des Clusters auf Azure-Ressourcen entfernen. GitHub Actions müssen Bicep-Vorlagen ohne Client-Geheimnis in Azure bereitstellen, und AKS-Workloads müssen auf Key Vault und Storage zugreifen können, ohne Dienstprinzipal-Geheimnisse zu speichern. Was sollten Sie konfigurieren? Jede richtige Antwort stellt einen Teil der Lösung dar.

Die erste korrekte Antwort beschreibt die Konfiguration für GitHub Actions. Durch die Verwendung einer App-Registrierung mit föderierten Anmeldeinformationen und OIDC kann GitHub direkt mit Azure authentifiziert werden, ohne Geheimnisse in GitHub speichern zu müssen. Die zweite korrekte Antwort beschreibt die Konfiguration für AKS-Workloads. Azure AD Workload Identity ermöglicht es Pods, sich mit einer Entra ID-App zu authentifizieren, indem ein Kubernetes-Dienstkonto mit einer föderierten Identitätsanmeldeinformation verknüpft wird. Dies eliminiert die Notwendigkeit, Dienstprinzipal-Geheimnisse in AKS zu speichern. Die Option, ein GitHub PAT zu verwenden, speichert weiterhin Geheimnisse. Die Verwendung des veralteten AAD Pod Identity Add-ons ist nicht der empfohlene Ansatz. Dienstprinzipale mit Zertifikaten in Kubernetes-Secrets zu speichern, speichert ebenfalls Geheimnisse und ist nicht die bevorzugte Methode für eine geheimnislose Authentifizierung.