Um microsserviço GKE precisa de credenciais para um banco de dados de terceiros on-premises que devem ser rotacionáveis e seguir as melhores práticas. Como você deve armazenar e gerenciar as credenciais?

A opção correta é armazenar as credenciais como um Kubernetes Secret e usar o plug-in Cloud KMS para criptografia/descriptografia. Kubernetes Secrets são projetados para armazenar dados sensíveis, e a integração com o Cloud KMS oferece uma camada adicional de segurança, permitindo a criptografia dos Secrets em repouso com chaves gerenciadas pelo Google Cloud, além de facilitar a rotação de credenciais. Armazenar em um proxy sidecar não é uma prática de segurança recomendada para credenciais. Usar uma service mesh controla o tráfego, mas não gerencia o armazenamento seguro de credenciais. Montagens de volume criptografadas via PersistentVolumeClaim são para dados persistentes, não para credenciais rotacionáveis e sensíveis de forma otimizada como Secrets.