Les pipelines CI/CD d'une entreprise dans GitHub Actions utilisent actuellement la clé secrète à longue durée de vie d'un utilisateur IAM pour appeler AWS. Un rôle IAM existant avec les autorisations requises existe. L'équipe de sécurité interdit désormais les clés secrètes à longue durée de vie pour les pipelines. Quelle méthode d'authentification à courte durée de vie répond à l'exigence avec le moins de frais opérationnels ?

L'option correcte est la création d'un fournisseur d'identité OIDC IAM pour GitHub. Cette méthode permet à GitHub Actions d'assumer un rôle IAM directement, sans avoir besoin de stocker des informations d'identification à long terme. GitHub est un fournisseur OIDC pris en charge, ce qui simplifie l'intégration. Le rôle IAM est configuré avec une politique de confiance qui autorise sts:AssumeRoleWithWebIdentity spécifiquement pour l'IdP OIDC de GitHub, garantissant une authentification sécurisée et à courte durée de vie. Les autres options sont moins optimales : SAML 2.0 est plus complexe à configurer pour GitHub Actions et n'est pas la méthode préférée pour l'intégration directe avec des fournisseurs CI/CD comme GitHub. Amazon Cognito est généralement utilisé pour l'authentification des utilisateurs finaux d'applications web/mobiles, pas pour l'intégration de pipelines CI/CD. IAM Roles Anywhere est conçu pour les charges de travail s'exécutant en dehors d'AWS qui nécessitent d'accéder aux ressources AWS en utilisant des certificats X.509, ce qui est une solution plus complexe et moins adaptée pour GitHub Actions.