Um aplicativo GKE deve fazer solicitações autorizadas a serviços gerenciados do Google Cloud. Você já criou uma conta de serviço com as funções IAM necessárias. Para uma configuração segura única que evita chaves de longa duração e suporta rotação automática de chaves, o que você deve fazer a seguir?

Atribuir a conta de serviço do Google Cloud ao seu Pod GKE usando Workload Identity é a solução mais segura e recomendada. O Workload Identity permite que um Pod do Kubernetes atue como uma conta de serviço do Google Cloud, eliminando a necessidade de gerenciar chaves de conta de serviço. Isso evita o uso de credenciais de longa duração, que são um risco de segurança, e suporta a rotação automática de chaves, pois o GKE gerencia a autenticação. Exportar a conta de serviço e compartilhá-la como um Secret do Kubernetes, incorporá-la ao código-fonte ou carregá-la no HashiCorp Vault para gerar uma conta de serviço dinâmica são abordagens menos seguras. Elas envolvem o manuseio de chaves de longa duração, aumentando o risco de comprometimento e a complexidade de gerenciamento. O Workload Identity simplifica a autenticação e a autorização, alinhando-se às melhores práticas de segurança no Google Cloud.