Um aplicativo Go em produção no GKE precisa de acesso ao BigQuery. Seguindo as melhores práticas do Google, como você deve conceder acesso?

A opção correta é usar Workload Identity. Esta é a prática recomendada do Google Cloud para que cargas de trabalho em GKE acessem serviços Google Cloud. Ela vincula uma conta de serviço do Kubernetes a uma conta de serviço do Google, permitindo que o aplicativo no pod use as credenciais da conta de serviço do Google sem a necessidade de gerenciar chaves de serviço. As outras opções envolvem o uso e gerenciamento de chaves JSON, o que é menos seguro e mais complexo de gerenciar. Armazenar chaves JSON no Secret Manager ou como segredos do Kubernetes ainda exige que o aplicativo recupere e use essas chaves, aumentando a superfície de ataque e a complexidade operacional em comparação com o Workload Identity.