Seu contêiner é executado no GKE e precisa de um segredo. Qual abordagem segura você deve usar?

A opção correta utiliza o Secret Manager, que é um serviço gerenciado do Google Cloud para armazenar segredos de forma segura. A combinação de uma Conta de Serviço do Google (GSA) com permissões para acessar o Secret Manager e o Workload Identity no GKE permite que o contêiner (executado por uma Conta de Serviço do Kubernetes - KSA) assuma a identidade da GSA, acessando o segredo de forma segura e sem expor credenciais diretamente no contêiner ou no código. As outras opções são menos seguras ou menos eficientes: Passar o Secret do Kubernetes como variável de ambiente pode expor o segredo a outros processos no mesmo nó ou em logs. A Application-layer Secret Encryption no GKE protege os segredos em repouso dentro do cluster, mas não gerencia o acesso a eles de forma granular para aplicações. Armazenar a credencial no Cloud KMS é possível, mas o Cloud KMS é mais adequado para chaves criptográficas. Além disso, passar um arquivo .json com credenciais de GSA diretamente para o contêiner é uma prática de segurança menos recomendada, pois o arquivo pode ser comprometido.