Votre équipe de plateforme souhaite supprimer les informations d'identification de longue durée pour le CI/CD et l'accès intra-cluster aux ressources Azure. GitHub Actions doit déployer des modèles Bicep sur Azure sans secret client, et les charges de travail AKS doivent accéder à Key Vault et Storage sans stocker les secrets du principal de service. Que devez-vous configurer ? Chaque bonne réponse présente une partie de la solution.

La première bonne réponse décrit la configuration de l'authentification sans secret pour GitHub Actions. En utilisant une inscription d'application Entra ID avec des informations d'identification fédérées OIDC, GitHub Actions peut s'authentifier directement auprès d'Azure sans avoir besoin de secrets client de longue durée, améliorant ainsi la sécurité. La deuxième bonne réponse explique la configuration d'Azure AD Workload Identity pour AKS. Cette fonctionnalité permet aux charges de travail AKS d'accéder aux ressources Azure (comme Key Vault et Storage) en utilisant des identités gérées par Entra ID, mappées à des comptes de service Kubernetes. Cela élimine le besoin de stocker des secrets de principal de service dans les pods, réduisant ainsi les risques de sécurité. Les options incorrectes proposent des solutions moins sécurisées ou obsolètes. L'utilisation d'un PAT GitHub et de az login --username/--password implique des secrets de longue durée. L'add-on AAD Pod Identity est hérité et n'est plus l'approche recommandée pour les nouveaux clusters. L'utilisation de certificats montés dans des secrets Kubernetes, bien que possible, est plus complexe à gérer et moins intégrée que Workload Identity pour AKS.