Proteja o acesso da plataforma de aplicativos ao Google Cloud seguindo as práticas recomendadas do Google. O que você implementa?

A Workload Identity é a prática recomendada do Google para permitir que aplicativos em execução no GKE acessem serviços do Google Cloud de forma segura e granular. Ela vincula uma conta de serviço do Kubernetes a uma conta de serviço do Google, permitindo que os pods usem as permissões da conta de serviço do Google sem a necessidade de gerenciar chaves ou credenciais. Armazenar segredos diretamente em Kubernetes Secrets (mesmo ofuscados) não é seguro, pois eles são armazenados em texto simples ou codificados em Base64, e qualquer pessoa com acesso ao cluster pode decodificá-los. A criptografia de segredos em Kubernetes com chaves do Cloud KMS melhora a segurança, mas não aborda a autenticação e autorização do aplicativo para acessar os serviços do Google Cloud. Implantar o HashiCorp Vault é uma solução válida para gerenciamento de segredos, mas Workload Identity é a solução nativa e mais integrada para autenticação e autorização de cargas de trabalho no GKE.