CI/CD-пайплайны компании в GitHub Actions в настоящее время используют долгосрочный секретный ключ пользователя IAM для вызова AWS. Существует существующая роль IAM с необходимыми разрешениями. Команда безопасности теперь запрещает использование долгосрочных секретных ключей для пайплайнов. Какой метод краткосрочной аутентификации соответствует требованиям с наименьшими операционными издержками?

Правильный ответ — создание поставщика удостоверений IAM OpenID Connect (OIDC) для GitHub. GitHub Actions поддерживает OIDC для аутентификации в AWS, что позволяет пайплайнам временно принимать роль IAM без использования долгосрочных учетных данных. Это соответствует требованиям безопасности и минимизирует операционные издержки, так как не требует управления секретными ключами. Неправильные варианты: SAML 2.0: Хотя SAML является методом федерации, GitHub Actions не поддерживает его напрямую для аутентификации в AWS таким же простым способом, как OIDC, что увеличит операционные издержки. Amazon Cognito: Cognito используется для управления пользовательскими пулами и федерации с внешними поставщиками удостоверений для мобильных и веб-приложений, но не является оптимальным решением для аутентификации GitHub Actions в AWS. Это добавит ненужную сложность. IAM Roles Anywhere: Этот сервис предназначен для рабочих нагрузок вне AWS, таких как локальные серверы, использующие сертификаты X.509 для получения временных учетных данных. GitHub Actions работает в облаке, и OIDC является более подходящим и менее сложным решением.