Um sistema de automação atualmente usa chaves de conta de serviço JSON de longa duração armazenadas em um cofre para acesso à API para operações de rede. Qual é a alternativa segura recomendada para eliminar a dependência dessas chaves?

A substituição por Workload Identity ou federação de identidade de workload é a alternativa mais segura porque elimina a necessidade de armazenar chaves de longa duração, que representam um risco significativo em caso de comprometimento. Essas soluções permitem que as workloads obtenham credenciais de curta duração diretamente do Google Cloud, reduzindo a superfície de ataque e a complexidade do gerenciamento de segredos. A rotação manual mensal, embora melhore a segurança, ainda mantém o risco de chaves de longa duração e é operacionalmente custosa. Habilitar o OS Login não aborda a questão das chaves de serviço para acesso à API. Armazenar as chaves no Secret Manager é uma melhoria na gestão de segredos, mas ainda mantém a existência de chaves de longa duração e desabilitar o registro de acesso ao cofre é uma prática insegura.