您的团队使用 Terraform Cloud 管理 GCP 资源，并希望以最少的配置更改实现最安全的身份验证。Terraform 应该如何向 Google Cloud API 进行身份验证？

正确答案是配置 Terraform Cloud 使用 Workload Identity Federation 向 Google Cloud API 进行身份验证。Workload Identity Federation 允许 Terraform Cloud 直接与 Google Cloud 交换凭据，而无需管理或存储长期存在的密钥，例如服务账号 JSON 密钥，从而提供了最高的安全性。 在 GKE 上运行 Terraform 并使用 Workload Identity Federation 是一种有效方法，但它引入了额外的基础设施管理开销，不符合“最少配置更改”的要求。在 Compute Engine VM 上运行 Terraform 并使用 VM 服务账号，虽然可行，但不如直接在 Terraform Cloud 中配置 Workload Identity Federation 安全和便捷，因为它仍然需要管理 VM 实例。创建一个 Google 服务账号并上传 JSON 密钥到 Terraform Cloud 是最不安全的选项，因为 JSON 密钥是长期存在的凭据，一旦泄露将造成严重风险。