Configuration d’OpenID Connect dans Azure

Vue d’ensemble

OpenID Connect (OIDC) permet à vos workflows GitHub Actions d’accéder aux ressources dans Azure, sans avoir à stocker d’informations d’identification Azure en tant que secrets GitHub à long terme.

Ce guide offre une vue d’ensemble sur la façon de configurer Azure pour approuver le protocole OIDC de GitHub en tant qu’identité fédérée et il inclut un exemple de workflow pour l’action azure/login qui utilise des jetons pour s’authentifier auprès d’Azure et accéder aux ressources.

Prérequis

• Pour en savoir plus sur les concepts de base décrivant la façon dont GitHub utilise OIDC (OpenID Connect) ainsi que sur son architecture et ses avantages, consultez « À propos du renforcement de la sécurité avec OpenID Connect ».

• Avant de continuer, vous devez planifier votre stratégie de sécurité pour veiller à ce que les jetons d’accès soient uniquement alloués de manière prévisible. Pour contrôler la façon dont votre fournisseur de cloud émet des jetons d’accès, vous devez définir au moins une condition, afin que les dépôts non approuvés ne puissent pas demander de jetons d’accès à vos ressources cloud. Pour plus d’informations, consultez « À propos du renforcement de la sécurité avec OpenID Connect ».

• Assurez-vous que les points de terminaison OIDC suivants sont accessibles par votre fournisseur de cloud :

  • https://HOSTNAME/_services/token/.well-known/openid-configuration
  • https://HOSTNAME/_services/token/.well-known/jwks

  Remarque : Microsoft Entra ID (précédemment appelé Azure AD) n’a pas de plages d’adresses IP fixes définies pour ces points de terminaison.

• Assurez-vous que la valeur de la réclamation de l'émetteur incluse avec JSON Web Token (JWT) est définie sur une URL accessible au public. Pour plus d’informations, consultez « À propos du renforcement de la sécurité avec OpenID Connect ».

Ajout des informations d’identification fédérées à Azure

Le fournisseur OIDC de GitHub fonctionne avec la fédération d’identité de charge de travail d’Azure. Pour obtenir une vue d’ensemble, consultez la documentation de Microsoft sur la « fédération d’identité de charge de travail ».

Pour configurer le fournisseur d’identité OIDC dans Azure, vous devez effectuer la configuration suivante. Pour obtenir des instructions afin d’apporter ces modifications, reportez-vous à la documentation Azure.

1. Créez une application Entra ID et un principal de service.
2. Ajoutez des informations d’identification fédérées pour l’application Entra ID.
3. Créez des secrets GitHub pour stocker la configuration Azure.

Conseils supplémentaires pour la configuration du fournisseur d’identité :

• Pour durcir la sécurité, veillez à consulter « À propos du renforcement de la sécurité avec OpenID Connect ». Pour obtenir un exemple, consultez « À propos du renforcement de la sécurité avec OpenID Connect ».
• Pour le paramètre audience, api://AzureADTokenExchange est la valeur recommandée, mais vous pouvez également spécifier d’autres valeurs ici.

Mise à jour de votre workflow GitHub Actions

Pour mettre à jour vos workflows pour OIDC, vous devez apporter deux modifications à votre code YAML :

1. Ajoutez des paramètres d’autorisations pour le jeton.
2. Utilisez l’action azure/login pour échanger le jeton OIDC (JWT) afin d’obtenir un jeton d’accès cloud.

Ajout de paramètres d’autorisations

L’exécution du projet ou du flux de travail nécessite un paramètre permissions avec id-token: write pour autoriser le fournisseur OIDC de GitHub à créer un JSON Web Token pour chaque exécution. Vous ne pourrez pas demander le jeton OIDC JWT ID si le permissions pour id-token n’est pas défini sur write, mais cette valeur n’implique pas l’octroi d’un accès en écriture à des ressources, permettant uniquement de récupérer et de définir le jeton OIDC pour une action ou une étape afin de permettre l’authentification avec un jeton d’accès à courte durée. Tout paramètre d’approbation réel est défini à l’aide de revendications OIDC, pour plus d’informations, consultez « À propos du renforcement de la sécurité avec OpenID Connect ».

Le paramètre id-token: write permet au JWT d’être demandé à partir du fournisseur OIDC de GitHub à l’aide de l’une des approches suivantes :

• Utilisation de variables d’environnement sur l’exécuteur (ACTIONS_ID_TOKEN_REQUEST_URL et ACTIONS_ID_TOKEN_REQUEST_TOKEN).
• Utilisation du getIDToken() issu du kit de ressources Actions.

Si vous devez extraire un jeton OIDC pour un workflow, l’autorisation peut être définie au niveau du workflow. Par exemple :

permissions:
  id-token: write # This is required for requesting the JWT
  contents: read  # This is required for actions/checkout

permissions:
  id-token: write # This is required for requesting the JWT
  contents: read  # This is required for actions/checkout

Si vous avez uniquement besoin d’extraire un jeton OIDC pour un seul travail, alors cette autorisation peut être définie au sein de ce travail. Par exemple :

permissions:
  id-token: write # This is required for requesting the JWT

permissions:
  id-token: write # This is required for requesting the JWT

Vous aurez peut-être besoin de spécifier des autorisations supplémentaires ici, en fonction des exigences liées à votre workflow.

Pour les workflows réutilisables appartenant au même utilisateur, à la même organisation ou à la même entreprise que le workflow de l’appelant, le jeton OIDC généré dans le workflow réutilisable est accessible à partir du contexte de l’appelant. Pour les workflows réutilisables en dehors de votre entreprise ou organisation, le paramètre permissions pour id-token doit être défini explicitement avec la valeur write au niveau du workflow de l’appelant ou dans le travail spécifique qui appelle le workflow réutilisable. Cela garantit que le jeton OIDC généré dans le workflow réutilisable n’est autorisé à être consommé dans les workflows de l’appelant que si c’est prévu.

Pour plus d’informations, consultez « Réutilisation des workflows ».

Demande du jeton d’accès

L’action azure/login reçoit un jeton JWT à partir du fournisseur OIDC GitHub, puis demande un jeton d’accès à partir d’Azure. Pour plus d’informations, consultez la documentation azure/login.

L’exemple suivant échange un jeton d’ID OIDC avec Azure pour recevoir un jeton d’accès, qui peut ensuite être utilisé pour accéder aux ressources cloud.

name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

name: Run Azure Login with OIDC
on: [push]

permissions:
  id-token: write
  contents: read
jobs:
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list

Pour aller plus loin

• Utilisation d’OpenID Connect avec des workflows réutilisables - À propos des exécuteurs auto-hébergés