Las canalizaciones de CI/CD de una empresa en GitHub Actions utilizan actualmente la clave secreta de larga duración de un usuario de IAM para llamar a AWS. Existe un rol de IAM con los permisos necesarios. El equipo de seguridad ahora prohíbe las claves secretas de larga duración para las canalizaciones. ¿Qué método de autenticación de corta duración cumple con el requisito con la menor sobrecarga operativa?

La opción correcta es crear un proveedor de identidad (OIDC) en IAM para GitHub y un rol de IAM con una política de confianza que permita sts:AssumeRoleWithWebIdentity desde ese IdP. GitHub Actions admite la autenticación OIDC, lo que permite que las acciones asuman un rol de IAM directamente sin necesidad de almacenar credenciales de larga duración. Esto proporciona credenciales temporales, es seguro y tiene la menor sobrecarga operativa porque no requiere la gestión de claves o certificados adicionales. Las otras opciones son incorrectas porque: SAML 2.0 es más complejo de configurar para GitHub Actions y no es el método preferido para la integración directa. Amazon Cognito está diseñado principalmente para la autenticación de usuarios de aplicaciones móviles y web, no para la integración directa de CI/CD con GitHub Actions. IAM Roles Anywhere es para cargas de trabajo fuera de AWS que usan certificados X.509, lo que introduce una complejidad innecesaria en la gestión de certificados para GitHub Actions.