如何在Github Actions中为多仓库共用一个联合凭据？

完全可以创建组织级的联合凭据，让15个仓库的GitHub Actions流水线共用，无需逐个配置。以下是具体操作步骤：

1. 确认OIDC信任基础已就绪 #

确保你的Azure租户已完成GitHub作为OIDC身份提供者的配置（若此前已通过OIDC访问Azure Key Vault，这一步大概率已完成），核心是Azure AD信任GitHub的OIDC签发地址 https://token.actions.githubusercontent.com。

2. 创建组织级联合凭据 #

在Azure AD中选择应用注册（或用户分配的托管标识，按需选择），进入目标应用/标识页面后：

• 切换到证书和密码标签页，选择联合凭据 → 添加凭据
• 凭据类型选GitHub Actions部署
• 配置页面填写：
  • 组织：你的GitHub组织名称
  • 仓库：输入*（表示覆盖组织下所有仓库）
  • 分支：输入*（或指定分支模式，如refs/heads/main、refs/heads/release*，按需限制权限范围）
• 自动生成的subject identifier格式为 repo:<你的组织名>/*:ref:refs/heads/*，该规则会匹配组织内所有仓库、所有分支的流水线请求

3. 配置Azure Key Vault访问策略 #

进入目标Key Vault的访问策略页面：

• 点击添加访问策略，选择构建所需的权限（比如密钥的Get/List、机密的Get/List）
• 在选择主体中，搜索并选中创建联合凭据的Azure AD应用注册/托管标识
• 保存访问策略

4. 统一更新GitHub Actions Workflow #

在所有仓库的Workflow文件中，使用这套组织级凭据的配置：

- name: Azure Login
  uses: azure/login@v1
  with:
    client-id: <你的组织级应用注册ID>
    tenant-id: <你的Azure租户ID>
    subscription-id: <你的订阅ID>

配置完成后，所有仓库的流水线就能通过该OIDC凭据自动获取Key Vault访问权限，无需逐个仓库单独配置。

关键注意事项 #

• 权限最小化：若无需所有分支都能访问，可将分支字段限制为特定分支（如refs/heads/main），避免权限过度开放
• 测试验证：先在单个仓库测试Workflow，确认能正常访问Key Vault后再推广到所有仓库
• 规则优先级：若某个仓库配置了单独的联合凭据，会优先匹配更具体的规则，组织级规则作为兜底生效

内容的提问来源于stack exchange，提问作者user264953