플랫폼 팀에서 CI/CD 및 클러스터 내 Azure 리소스 액세스를 위한 장기 자격 증명을 제거하려고 합니다. GitHub Actions는 클라이언트 암호 없이 Bicep 템플릿을 Azure에 배포해야 하며, AKS 워크로드는 서비스 주체 암호를 저장하지 않고 Key Vault 및 Storage에 액세스해야 합니다. 무엇을 구성해야 할까요? 각 정답은 솔루션의 일부를 나타냅니다.

제공된 두 가지 정답은 장기 자격 증명을 제거하라는 요구 사항을 충족하는 최신 보안 모범 사례입니다. 첫 번째 정답은 GitHub Actions가 클라이언트 암호 없이 Azure에 배포할 수 있도록 합니다. Entra ID 앱 등록과 GitHub OIDC(OpenID Connect) 발급자 간의 페더레이션 자격 증명을 설정하여 GitHub Actions 워크플로가 단기 토큰을 사용하여 Azure에 인증할 수 있도록 합니다. 이는 서비스 주체 암호를 저장할 필요가 없습니다. 두 번째 정답은 AKS 워크로드에 대한 서비스 주체 암호를 제거합니다. Azure AD Workload Identity를 활성화하면 AKS Pod가 Entra ID의 관리 ID를 직접 사용하여 Key Vault 및 Storage와 같은 Azure 리소스에 액세스할 수 있습니다. Kubernetes 서비스 계정을 Entra ID 앱에 매핑하고 페더레이션 ID 자격 증명을 사용하여 Pod가 암호 없이 Azure 리소스에 안전하게 액세스할 수 있도록 합니다. 오답은 다음과 같습니다. GitHub PAT는 장기 자격 증명이며 제거하려는 대상입니다. 레거시 AAD Pod Identity는 더 이상 사용되지 않으며 새 클러스터에는 Workload Identity가 권장됩니다. 인증서로 서비스 주체를 생성하고 PFX를 마운트하는 것은 암호를 사용하는 것과 유사하게 자격 증명을 수동으로 관리해야 하므로 장기 자격 증명 제거라는 목표에 부합하지 않습니다.