Azure OpenID Connect 구성

개요

OIDC(OpenID Connect)를 사용하면 Azure 자격 증명을 수명이 GitHub Actions 긴 비밀로 저장하지 않고도 워크플로가 Azure의 리소스에 액세스할 수 GitHub 있습니다.

이 가이드에서는 OIDC를 페더레이션 ID로 신뢰 GitHub하도록 Azure를 구성하는 방법에 대한 개요를 제공하고 토큰을 사용하여 Azure에 인증하고 리소스에 액세스하는 작업에 대한 azure/login 워크플로 예제를 포함합니다.

필수 조건

• GitHub가 OIDC(OpenID Connect)를 사용하는 방법과 아키텍처 및 이점에 대한 기본 개념을 알아보려면 OpenID Connect을(를) 참조하세요.

• 계속하기 전에 액세스 토큰이 예측 가능한 방식으로만 할당되도록 보안 전략을 계획해야 합니다. 클라우드 공급자가 액세스 토큰을 발급하는 방법을 제어하려면 신뢰할 수 없는 리포지토리가 클라우드 리소스에 대한 액세스 토큰을 요청할 수 없도록 하나 이상의 조건을 정의해야 합니다. 자세한 내용은 OpenID Connect을(를) 참조하세요.

• GHE.com에서 이 가이드를 따르는 경우 다음 문서의 특정 값을 대체해야 한다는 점을 알아 두세요. OpenID Connect을(를) 참조하세요.

페더레이션된 자격 증명을 Azure 추가

          GitHubOIDC 공급자는 Azure의 워크로드 ID 페더레이션에서 작동합니다. 개요는 [워크로드 ID 페더레이션](https://docs.microsoft.com/en-us/azure/active-directory/develop/workload-identity-federation)에서 Microsoft의 설명서를 참조하세요.

Azure OIDC ID 공급자를 구성하려면 다음 구성을 수행해야 합니다. 이러한 변경에 대한 지침은 Azure 설명서 참조하세요.

          다음 절차에서는 Microsoft Entra ID(이전의 Azure AD)용 애플리케이션을 만듭니다.

1. Entra ID 애플리케이션 및 서비스 주체 만들기
2. Entra ID 애플리케이션에 대한 페더레이션 자격 증명을 추가합니다.
3. Azure 구성을 저장하기 위한 시크릿GitHub를 만듭니다.

ID 공급자를 구성하기 위한 추가 지침:

• 보안 강화를 위해 OpenID Connect을(를) 검토했는지 확인하세요. 예는 OpenID Connect을(를) 참조하세요.
• audience 설정의 경우 api://AzureADTokenExchange가 권장되는 값이지만, 여기에 다른 값을 지정할 수도 있습니다.

워크플로를 업데이트하기 GitHub Actions

OIDC에 대한 워크플로를 업데이트하려면 YAML에 두 가지를 변경해야 합니다.

1. 토큰에 대한 사용 권한 설정을 추가합니다.

2.        [
          `azure/login`
          ](https://github.com/Azure/login) 작업을 사용하여 OIDC 토큰(JWT)을 클라우드 액세스 토큰으로 교환합니다.
   

사용 권한 설정 추가

작업 또는 워크플로 실행 시, GitHub의 OIDC 공급자가 각 실행마다 JSON 웹 토큰을 생성할 수 있도록 permissions 설정과 id-token: write이 필요합니다.

필요한 권한, 구성 예, 고급 시나리오에 대한 자세한 내용은 OpenID 연결 참조을(를) 참조하세요.

액세스 토큰 요청

작업은 azure/login OIDC 공급자로부터 JWT를 GitHub 받은 다음 Azure에서 액세스 토큰을 요청합니다. 자세한 내용은 azure/login 설명서를 참조하세요.

다음 예제에서는 OIDC ID 토큰을 Azure 교환하여 액세스 토큰을 수신한 다음 클라우드 리소스에 액세스하는 데 사용할 수 있습니다.

# 이 워크플로는 GitHub에서 인증되지 않은 작업을 사용합니다.
# 작업은 타사에서 제공하며
# 별도의 서비스 약관, 개인정보처리방침, 지원 설명서에서 규정됩니다.
# 참조하세요.
name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@8c334a195cbb38e46038007b304988d888bf676a
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

# 이 워크플로는 GitHub에서 인증되지 않은 작업을 사용합니다.
# 작업은 타사에서 제공하며
# 별도의 서비스 약관, 개인정보처리방침, 지원 설명서에서 규정됩니다.
# 참조하세요.
name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@8c334a195cbb38e46038007b304988d888bf676a
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

추가 참고 자료

• 재사용 가능한 워크플로에서 OpenID Connect 사용
• 자체 호스팅 실행기 참조