Azure OpenID Connect 구성

데이터 재사용 가능.작업.엔터프라이즈-깃허브-호스티드-러너 %}

개요

OIDC(OpenID Connect)를 사용하면 GitHub Actions 워크플로가 Azure 자격 증명을 수명이 긴 GitHub 비밀로 저장할 필요 없이 Azure의 리소스에 액세스할 수 있습니다.

이 가이드에서는 GitHub의 OIDC를 페더레이션 ID로 신뢰하도록 Azure 구성하는 방법에 대한 개요를 제공하며, 토큰을 사용하여 리소스를 Azure 액세스하기 위해 인증하는 azure/login 작업에 대한 워크플로 예제를 포함합니다.

필수 조건

데이터 재사용.활동.OIDC-도입부로의 링크 %}

• 계속하기 전에 액세스 토큰이 예측 가능한 방식으로만 할당되도록 보안 전략을 계획해야 합니다. 클라우드 공급자가 액세스 토큰을 발급하는 방법을 제어하려면 신뢰할 수 없는 리포지토리가 클라우드 리소스에 대한 액세스 토큰을 요청할 수 없도록 하나 이상의 조건을 정의해야 합니다. 자세한 내용은 OpenID Connect을(를) 참조하세요.

• GHE.com에서 이 가이드를 따르는 경우 다음 문서의 특정 값을 대체해야 한다는 점을 알아 두세요. OpenID Connect을(를) 참조하세요.

페더레이션된 자격 증명을 Azure 추가

GitHub의 OIDC 공급자는 Azure의 워크로드 ID 페더레이션과 작동합니다. 개요는 워크로드 ID 페더레이션에서 Microsoft의 설명서를 참조하세요.

Azure OIDC ID 공급자를 구성하려면 다음 구성을 수행해야 합니다. 이러한 변경에 대한 지침은 Azure 설명서 참조하세요.

다음 절차에서는 Microsoft Entra ID 애플리케이션(이전에는 Azure AD라고 함)을 만듭니다.

1. Entra ID 애플리케이션 및 서비스 주체 만들기
2. Entra ID 애플리케이션에 대한 페더레이션 자격 증명을 추가합니다.
3. Azure 구성을 저장하기 위한 GitHub 비밀을 만듭니다.

ID 공급자를 구성하기 위한 추가 지침:

• 보안 강화를 위해 OpenID Connect을(를) 검토했는지 확인하세요. 예는 OpenID Connect을(를) 참조하세요.

•         `audience` 설정의 경우 `api://AzureADTokenExchange`가 권장되는 값이지만, 여기에 다른 값을 지정할 수도 있습니다.
  

GitHub Actions 워크플로 업데이트

OIDC에 대한 워크플로를 업데이트하려면 YAML에 두 가지를 변경해야 합니다.

1. 토큰에 대한 사용 권한 설정을 추가합니다.

2.        [
          `azure/login`
          ](https://github.com/Azure/login) 작업을 사용하여 OIDC 토큰(JWT)을 클라우드 액세스 토큰으로 교환합니다.
   

사용 권한 설정 추가

작업 또는 워크플로 실행 시, GitHub의 OIDC 공급자가 각 실행마다 JSON 웹 토큰을 생성할 수 있도록 permissions 설정과 id-token: write이 필요합니다.

필요한 권한, 구성 예, 고급 시나리오에 대한 자세한 내용은 OpenID 연결 참조을(를) 참조하세요.

액세스 토큰 요청

          [
          `azure/login`
          ](https://github.com/Azure/login) 작업은 GitHub OIDC 공급자로부터 JWT를 받은 다음 Azure 액세스 토큰을 요청합니다. 자세한 내용은 [`azure/login`](https://github.com/Azure/login) 설명서를 참조하세요.

다음 예제에서는 OIDC ID 토큰을 Azure 교환하여 액세스 토큰을 수신한 다음 클라우드 리소스에 액세스하는 데 사용할 수 있습니다.

# 이 워크플로는 GitHub에서 인증되지 않은 작업을 사용합니다.
# 작업은 타사에서 제공하며
# 별도의 서비스 약관, 개인정보처리방침, 지원 설명서에서 규정됩니다.
# 참조하세요.
name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@8c334a195cbb38e46038007b304988d888bf676a
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

# 이 워크플로는 GitHub에서 인증되지 않은 작업을 사용합니다.
# 작업은 타사에서 제공하며
# 별도의 서비스 약관, 개인정보처리방침, 지원 설명서에서 규정됩니다.
# 참조하세요.
name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@8c334a195cbb38e46038007b304988d888bf676a
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

추가 참고 자료

• 재사용 가능한 워크플로에서 OpenID Connect 사용
• 자체 호스팅 실행기 참조