在 GKE 上，一个微服务需要对 Spanner 数据库进行读/写访问。为了遵循安全最佳实践并最大限度地减少代码更改，应用程序应如何获取 Spanner 凭据？

在 GKE 上，使用 Workload Identity 是访问 Google Cloud 服务的最佳实践。它将 Kubernetes Service Account 绑定到 Google Service Account，允许 Pod 自动获得相应的权限，而无需在代码中硬编码或管理凭据。这样既安全又简化了凭据管理。将凭据存储在 Kubernetes Secrets 中并作为环境变量暴露不安全，因为它将敏感信息直接暴露给 Pod。配置路由规则和 VPC-native 集群是为了网络连接，与凭据获取无关。将凭据存储在 Cloud KMS 中并在每次连接时检索虽然安全，但会增加复杂性和延迟，不如 Workload Identity 自动化且高效。