Skip to main content

Configuring OpenID Connect in Azure

Use OpenID Connect within your workflows to authenticate with Azure.

ノート: GitHubホストランナーは、現在GitHub Enterprise Serverでサポートされていません。 GitHubパブリックロードマップで、計画されている将来のサポートに関する詳しい情報を見ることができます。

概要

OpenID Connect (OIDC) allows your GitHub Actions workflows to access resources in Azure, without needing to store the Azure credentials as long-lived GitHub secrets.

This guide gives an overview of how to configure Azure to trust GitHub's OIDC as a federated identity, and includes a workflow example for the azure/login action that uses tokens to authenticate to Azure and access resources.

必要な環境

  • GitHubのOpenID Connect (OIDC)の利用方法と、そのアーキテクチャ及び利点の基本概念を学ぶには、「OpenID Connectでのセキュリティ強化について」を参照してください。

  • 先に進む前に、アクセストークンが予測できるやり方でのみ割り当てられるよう、セキュリティの戦略を計画しなければなりません。 クラウドプロバイダーによるアクセストークンの発行を制御するためには、信頼できないリポジトリがクラウドのリソースに対するアクセストークンをリクエストできないよう、少なくとも1つの条件を定義しなければなりません。 詳しい情報については「クラウドとのOIDCトラストの設定」を参照してください。

Adding the Federated Credentials to Azure

GitHub's OIDC provider works with Azure's workload identity federation. For an overview, see Microsoft's documentation at "Workload identity federation."

To configure the OIDC identity provider in Azure, you will need to perform the following configuration. For instructions on making these changes, refer to the Azure documentation.

  1. Create an Azure Active Directory application and a service principal.
  2. Add federated credentials for the Azure Active Directory application.
  3. Create GitHub secrets for storing Azure configuration.

Additional guidance for configuring the identity provider:

GitHub Actions ワークフローを更新する

To update your workflows for OIDC, you will need to make two changes to your YAML:

  1. Add permissions settings for the token.
  2. Use the azure/login action to exchange the OIDC token (JWT) for a cloud access token.

Adding permissions settings

 ジョブもしくはワークフローの実行にはid-token: writepermissions設定が必要です。 id-tokenpermissionsの設定がreadあるいはnoneに設定されていると、OIDC JWT IDトークンをリクエストすることはできません。

id-token: writeと設定すると、JWTはGitHubのOIDCプロバイダから以下のいずれかのアプローチを使ってリクエストできます。

  • ランナー上の環境変数を使う(ACTIONS_ID_TOKEN_REQUEST_URL及びACTIONS_ID_TOKEN_REQUEST_TOKEN)。
  • ActionsツールキットからgetIDToken()を使う。

1つのジョブのためにOIDCトークンをフェッチしなければならないだけなら、この権限はそのジョブ内で設定できます。 例:

YAML
permissions:
  id-token: write

ワークフローの必要に応じて、ここで追加の権限を指定する必要があるかもしれません。

Requesting the access token

The azure/login action receives a JWT from the GitHub OIDC provider, and then requests an access token from Azure. For more information, see the azure/login documentation.

The following example exchanges an OIDC ID token with Azure to receive an access token, which can then be used to access cloud resources.

YAML
name: Run Azure Login with OIDC
on: [push]

permissions:
      id-token: write
      contents: read
jobs: 
  build-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 'Az CLI login'
        uses: azure/login@v1
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

      - name: 'Run az commands'
        run: |
          az account show
          az group list