GitHub Actions + Azure OIDC：如何配置单个联合身份验证规则以支持仓库所有分支的Subject字段匹配？

当然可以！Azure AD的OIDC联合身份验证规则支持使用通配符来匹配GitHub的subject字段，这样你就能用一条规则覆盖指定仓库的所有分支，不用逐个配置。下面是具体的配置步骤和注意事项：

1. 先明确GitHub OIDC的subject格式 #

对于分支推送的场景，GitHub发送的subject字段结构固定为：
repo:<你的GitHub用户名>/<仓库名>:ref:refs/heads/<分支名>

举个例子，你的仓库是tiagojsag/my-app，分支是main，对应的subject就是repo:tiagojsag/my-app:ref:refs/heads/main。

2. 配置Azure AD应用注册的联合身份验证规则 #

登录Azure门户，找到你用来给GitHub Actions做OIDC身份验证的应用注册，按以下步骤操作：

• 进入证书和密码 -> 联合身份验证（部分界面可能在企业应用程序的单一登录模块下）
• 添加一条新的身份验证规则，或者编辑现有规则，将subject的匹配条件设置为：

  repo:<你的GitHub用户名>/<目标仓库名>:ref:refs/heads/*
  

  这里的*就是通配符，会匹配该仓库下的所有分支名称。

3. 确保GitHub Actions工作流配置正确 #

在你的GitHub Actions workflow文件中，确认OIDC登录动作（比如azure/login）正确关联到这个应用注册，且没有额外限制特定分支。示例片段如下：

jobs:
  build-and-push:
    runs-on: ubuntu-latest
    steps:
      - name: Azure Login via OIDC
        uses: azure/login@v1
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
      # 后续的Docker构建、推送到ACR的步骤...

4. 验证规则有效性 #

配置完成后，推送不同分支的代码触发GitHub Actions，检查是否能顺利完成OIDC身份验证并推送镜像到ACR。如果遇到权限问题，先确认Azure AD应用注册是否被分配了ACR的AcrPush角色，同时检查通配符的格式是否正确。

额外注意事项 #

• 通配符*仅适用于分支名称部分，不要修改前面的repo:<用户名>/<仓库名>:ref:refs/heads/前缀，否则可能匹配到其他仓库或非分支场景（比如标签推送）
• 如果需要同时覆盖分支和标签，可以添加两条规则，或者使用更宽泛的repo:<用户名>/<仓库名>:ref:*，但请根据业务场景谨慎选择，避免过度授权

内容的提问来源于stack exchange，提问作者tiagojsag