Le pipeline CI/CD di un'azienda in GitHub Actions utilizzano attualmente la chiave segreta a lunga durata di un utente IAM per chiamare AWS. Esiste un ruolo IAM esistente con le autorizzazioni richieste. Il team di sicurezza ora proibisce le chiavi segrete a lunga durata per le pipeline. Quale metodo di autenticazione a breve durata soddisfa il requisito con il minor overhead operativo?

L'opzione corretta è la creazione di un provider di identità (OIDC) OpenID Connect in IAM per GitHub. Questo è il metodo più efficiente per lo scambio di credenziali a breve termine tra GitHub Actions e AWS, poiché GitHub supporta nativamente OIDC. Si crea un IdP OIDC in IAM che si fida di GitHub, quindi un ruolo IAM con una policy di trust che consente a sts:AssumeRoleWithWebIdentity dall'IdP OIDC di GitHub. La pipeline di GitHub Actions può quindi assumere questo ruolo direttamente, ottenendo credenziali temporanee senza la necessità di chiavi a lunga durata, riducendo al minimo l'overhead operativo. Le altre opzioni sono meno adatte: SAML 2.0 (prima opzione) è più complesso da configurare per le pipeline CI/CD rispetto a OIDC e non è il metodo preferito per l'integrazione diretta con GitHub Actions. Amazon Cognito (terza opzione) è progettato principalmente per l'autenticazione di utenti web e mobili, non per l'integrazione server-to-server come le pipeline CI/CD, introducendo complessità non necessarie. IAM Roles Anywhere (quarta opzione) è per carichi di lavoro on-premise o esterni ad AWS che non possono utilizzare i ruoli IAM tradizionali, richiedendo la gestione di certificati client, il che aggiunge un overhead operativo significativo e non è necessario per GitHub Actions.