No GKE, um microsserviço precisa de acesso de leitura/gravação a um banco de dados Spanner. Para seguir as melhores práticas de segurança com o mínimo de alterações no código, como o aplicativo deve obter as credenciais do Spanner?

A opção correta é usar contas de serviço Google apropriadas e habilitar o Workload Identity para os pods. O Workload Identity permite que contas de serviço Kubernetes atuem como contas de serviço Google. Isso significa que os pods podem acessar recursos do Google Cloud (como o Spanner) usando as permissões da conta de serviço Google associada, sem a necessidade de gerenciar chaves ou credenciais explicitamente no código ou em segredos. É a prática de segurança recomendada para GKE, pois o Google Cloud gerencia a rotação de credenciais e a autenticação. Armazenar credenciais em Secrets do Kubernetes e expô-las como variáveis de ambiente é menos seguro, pois as credenciais podem ser acessadas por qualquer pod no mesmo nó ou por meio de logs, e a rotação de credenciais é manual. Configurar regras de roteamento e usar um cluster nativo de VPC garante conectividade, mas não aborda a autenticação ou o gerenciamento de credenciais. Armazenar credenciais no Cloud KMS e recuperá-las para cada conexão adiciona complexidade e latência, e ainda exige um mecanismo para autenticar no KMS, o que o Workload Identity simplifica.