Altyapıyı dağıtmak ve Azure Key Vault'tan herhangi bir Azure kimlik bilgisi depolamadan gizli dizileri almak için bir GitHub Actions iş akışına ihtiyacınız var. Erişim belirli bir GitHub deposu ve ortamıyla sınırlı olmalı ve kısa ömürlü token'lar kullanmalıdır. Microsoft Entra ID'de (Azure AD) ne yapılandırmalısınız? İki tane seçin.

Soruda, Azure Key Vault'tan gizli dizileri almak için GitHub Actions'ın Azure'da kimlik bilgisi saklamadan güvenli bir şekilde kimlik doğrulaması yapması istenmektedir. Bu, OpenID Connect (OIDC) ve birleşik kimlik bilgileri kullanılarak başarılabilir. İlk doğru seçenek, bir uygulama kaydetmeyi ve belirli GitHub deposu ve ortamı için OIDC token'larına güvenen bir birleşik kimlik bilgisi eklemeyi içerir. Bu, GitHub Actions'ın doğrudan Azure AD'ye kimlik doğrulaması yapmasına olanak tanır ve Azure'da herhangi bir gizli dizi saklamaya gerek kalmaz. Hizmet sorumlusuna gerekli Azure RBAC rolleri atanarak erişim kontrolü sağlanır. İkinci doğru seçenek, doğrudan kullanıcı tarafından atanan yönetilen bir kimliğe birleşik kimlik bilgileri yapılandırmayı ve bu kimliğe roller atamayı önerir. İş akışı, OIDC token'ını bu yönetilen kimlik için bir Azure token'ı ile değiştirir. Bu yöntem de Azure'da kimlik bilgisi saklama ihtiyacını ortadan kaldırır ve yönetilen kimliklerin Azure kaynaklarına erişimini basitleştirir. Yanlış seçeneklerden ilki, istemci gizli anahtarını GitHub Actions gizli anahtarı olarak depolamayı önerir. Bu, Azure'da kimlik bilgisi saklamadan gizli dizi alma gereksinimini karşılamaz. Diğer yanlış seçenek olan Azure AD B2C kullanımı, dış kullanıcı kimlik doğrulaması için tasarlanmıştır ve bu senaryo için uygun değildir.