Je hebt een GitHub Actions-workflow nodig om infrastructuur te implementeren en geheimen op te halen uit Azure Key Vault zonder Azure-referenties op te slaan. Toegang moet beperkt zijn tot een specifieke GitHub-repository en -omgeving en gebruikmaken van kortstondige tokens. Wat moet je configureren in Microsoft Entra ID (Azure AD)? Kies twee.

De eerste correcte optie beschrijft het gebruik van een app-registratie en federatieve credentials. Dit is de standaardmethode voor het configureren van een service principal om te authenticeren bij Azure AD met behulp van OIDC-tokens van GitHub Actions. De federatieve credential zorgt ervoor dat Azure AD de GitHub OIDC-tokens vertrouwt, waardoor de workflow zonder geheimen kan authenticeren. RBAC-rollen worden vervolgens toegewezen aan de service principal om de benodigde machtigingen te verlenen. De tweede correcte optie beschrijft het gebruik van een door de gebruiker toegewezen managed identity met federatieve credentials. Managed identities zijn een veilige manier om Azure-resources te authenticeren bij Azure-services. Door federatieve credentials direct op de managed identity te configureren, kan de GitHub Actions-workflow zijn OIDC-token uitwisselen voor een Azure-token voor die managed identity, waardoor authenticatie zonder geheimen mogelijk is. RBAC-rollen worden vervolgens aan de managed identity toegewezen. De optie met een client secret is onjuist omdat de vraag expliciet vraagt om geen Azure-referenties op te slaan, wat een client secret wel zou zijn. Azure AD B2C is onjuist omdat dit primair bedoeld is voor klantidentiteitsbeheer en niet voor machine-naar-machine-authenticatie in dit scenario.