プラットフォームチームは、CI/CD およびクラスター内から Azure リソースへのアクセスに使用される、有効期間の長い認証情報を削除したいと考えています。GitHub Actions はクライアントシークレットなしで Bicep テンプレートを Azure にデプロイする必要があり、AKS ワークロードはサービスプリンシパルシークレットを保存せずに Key Vault および Storage にアクセスする必要があります。何を構成すべきですか？各正解はソリューションの一部を示しています。

GitHub Actionsからの認証情報削除には、Entra IDでアプリ登録を作成し、GitHub OIDC発行者を信頼するフェデレーション資格情報を追加します。これにより、クライアントシークレットなしでGitHub ActionsがAzureにデプロイできるようになります。AKSワークロードの認証情報削除には、AKSでAzure AD Workload Identityを有効にし、KubernetesサービスアカウントをEntra IDアプリにマッピングするフェデレーションID資格情報を追加します。これにより、Podはサービスプリンシパルシークレットを保存せずにKey VaultやStorageにアクセスできます。GitHub PATやレガシーなAAD Pod Identityは推奨されず、証明書をKubernetesシークレットにマウントする方法は、認証情報をクラスター内に保存するため、要件を満たしません。