Um microsserviço GKE precisa fazer download de arquivos de um bucket do Cloud Storage. Você tem uma conta de serviço do Google IAM com a função Storage Object Viewer no projeto. Seguindo as melhores práticas do Google, como o aplicativo deve acessar o bucket?

A melhor prática do Google para conceder permissões a cargas de trabalho GKE é usar o Workload Identity. Isso envolve criar um Kubernetes ServiceAccount e vinculá-lo a uma conta de serviço do Google IAM. Os pods são configurados para usar o Kubernetes ServiceAccount, que então assume a identidade da conta de serviço do IAM, permitindo que o aplicativo acesse os recursos do Cloud Storage com as permissões apropriadas. Atribuir a conta de serviço do IAM ao pool de nós concede permissões a todos os pods no pool de nós, o que é um privilégio excessivo. Usar chaves JSON diretamente é menos seguro e mais difícil de gerenciar. Criar um Secret do Kubernetes com uma chave codificada em base64 também é menos seguro e não segue o princípio do menor privilégio, pois a chave pode ser acessada por qualquer pod com permissão para ler o Secret.