Sie benötigen einen GitHub Actions-Workflow, um Infrastruktur bereitzustellen und Geheimnisse aus Azure Key Vault abzurufen, ohne Azure-Anmeldeinformationen zu speichern. Der Zugriff muss auf ein bestimmtes GitHub-Repository und eine bestimmte Umgebung beschränkt sein und kurzlebige Token verwenden. Was sollten Sie in Microsoft Entra ID (Azure AD) konfigurieren? Wählen Sie zwei aus.

Die Registrierung einer Anwendung mit Verbundanmeldeinformationen, die GitHub OIDC-Token vertrauen, ermöglicht es GitHub Actions, sich ohne Speicherung von Azure-Anmeldeinformationen bei Azure AD zu authentifizieren. Dies ist sicher und entspricht dem Prinzip der geringsten Rechte, da der Zugriff auf ein spezifisches Repository und eine Umgebung beschränkt werden kann. Die Zuweisung von Azure RBAC-Rollen zum Dienstprinzipal stellt sicher, dass nur die benötigten Berechtigungen vorhanden sind. Alternativ können Verbundanmeldeinformationen direkt für eine benutzerseitig zugewiesene verwaltete Identität konfiguriert werden. Dies bietet ähnliche Sicherheitsvorteile, da der Workflow sein OIDC-Token gegen ein Azure-Token für diese Identität austauschen kann, ohne Anmeldeinformationen zu speichern. Das Erstellen eines Client-Geheimnisses und dessen Speicherung in GitHub Actions ist unsicher, da das Geheimnis offengelegt werden könnte. Azure AD B2C ist für die Kundenidentitätsverwaltung gedacht, nicht für die Authentifizierung von GitHub Actions.