Workload Identity Federation: desplegar desde GitHub Actions a Azure sin secretos

Cómo desplegar desde GitHub Actions sin guardar un client secret, qué compara Entra ID antes de confiar en el pipeline y la letra pequeña del subject que rompe los tutoriales.