Workload Identity Federation

Problem

Eine GitHub- oder Azure DevOps-Pipeline muss in Azure bereitgestellt werden. Durch das Speichern eines langlebigen Azure-Clientgeheimnisses in CI entsteht ein wertvoller Anmeldenachweis, der durchsickern kann.

Lösung — Workload Identity Federation

Azure vertraut auf Identitätsaussagen des CI-Systems. Eine Identitätsbestätigung ist ein signiertes Token, das die Arbeitslast identifiziert, z. B. einen GitHub-Job aus einem bestimmten Repository und einer bestimmten Umgebung. Die Entra ID überprüft ihre Signatur und konfigurierte Vertrauensregeln, bevor sie ein Azure-Zugriffstoken ausstellt.

Pipeline
   ↓ Identitätsbestätigung
Entra ID
   ↓ kurzlebiges Token
Azure

Die Pipeline erhält Zugang über kurzlebige Token und die konfigurierte Vertrauensbeziehung.

Kerngedanke: Federation ersetzt gespeicherte systemübergreifende Anmeldeinformationen durch Vertrauen und kurzlebige Token.