Bir şirketin GitHub Actions'taki CI/CD işlem hatları, AWS'yi çağırmak için şu anda bir IAM kullanıcısının uzun ömürlü gizli anahtarını kullanıyor. Gerekli izinlere sahip mevcut bir IAM rolü var. Güvenlik ekibi artık işlem hatları için uzun ömürlü gizli anahtarları yasaklıyor. Hangi kısa ömürlü kimlik doğrulama yöntemi, en az operasyonel yük ile gereksinimi karşılar?

Doğru cevap, GitHub Actions'ın doğrudan AWS'de bir IAM rolünü üstlenmesine olanak tanıyan bir OpenID Connect (OIDC) kimlik sağlayıcısı kullanmaktır. Bu yöntem, uzun ömürlü kimlik bilgilerine ihtiyaç duymadan kısa ömürlü kimlik bilgileri sağlar ve GitHub Actions ile AWS arasında güvenli ve doğrudan bir entegrasyon oluşturur. Bu, operasyonel yükü en aza indirir çünkü gizli anahtarların yönetimi veya döndürülmesi gerekmez. Diğer seçenekler neden yanlış: IAM SAML 2.0 kimlik sağlayıcısı oluşturmak, GitHub Actions'ın doğrudan SAML aracılığıyla kimlik doğrulaması yapması için ek yapılandırma ve karmaşıklık gerektirir ve OIDC kadar doğal bir entegrasyon değildir. Amazon Cognito kimlik havuzu oluşturmak, GitHub Actions'ın AWS'ye erişimi için gereksiz bir aracı katmanı ekler ve doğrudan OIDC entegrasyonuna kıyasla daha fazla operasyonel yük getirir. AWS Private Certificate Authority ve IAM Roles Anywhere kullanmak, sunucu dışı iş yükleri için tasarlanmıştır ve GitHub Actions gibi bulut tabanlı bir CI/CD platformu için uygun değildir. Ayrıca, sertifika yönetimi ek operasyonel yük oluşturur.