De CI/CD-pipelines van een bedrijf in GitHub Actions gebruiken momenteel de langdurige geheime sleutel van een IAM-gebruiker om AWS aan te roepen. Er bestaat een bestaande IAM-rol met de vereiste machtigingen. Het beveiligingsteam verbiedt nu langdurige geheime sleutels voor pipelines. Welke kortstondige authenticatiemethode voldoet aan de vereiste met de minste operationele overhead?

De correcte optie is het opzetten van een IAM OpenID Connect (OIDC) identity provider voor GitHub. Dit is de aanbevolen methode voor het veilig en kortstondig authenticeren van externe identiteiten zoals GitHub Actions bij AWS. Door een OIDC IdP te configureren, kan GitHub een token uitgeven dat AWS kan valideren. Een IAM-rol met een trust policy die sts:AssumeRoleWithWebIdentity toestaat vanaf deze OIDC IdP, stelt de GitHub Actions-pipeline in staat om tijdelijke AWS-referenties te verkrijgen zonder langdurige geheime sleutels. Dit minimaliseert de operationele overhead omdat er geen sleutelrotatie of -beheer nodig is. Incorrecte opties: SAML 2.0 is een alternatief, maar OIDC is specifieker en eenvoudiger te integreren met moderne CI/CD-platforms zoals GitHub Actions. Amazon Cognito is bedoeld voor gebruikersauthenticatie in applicaties, niet voor CI/CD-pipelines. IAM Roles Anywhere met clientcertificaten is complexer en meer geschikt voor on-premises servers die toegang nodig hebben tot AWS, niet voor cloud-native CI/CD-platforms zoals GitHub Actions.