您的容器在 GKE 中运行，需要一个 Secret。您应该使用哪种安全方法？

最佳实践是将凭据存储在 Secret Manager 中，因为它提供了集中式、版本化和审计的 Secret 管理。然后，通过 Workload Identity 机制，将 Kubernetes 服务帐号 (KSA) 绑定到 Google 服务帐号 (GSA)。这样，运行容器的 KSA 就能模拟 GSA 的权限，安全地从 Secret Manager 访问凭据，而无需在容器中存储任何凭据文件或环境变量。 将 Secret 作为环境变量传递给容器不安全，因为环境变量容易被查看或泄露。应用层 Secret 加密虽然增加了安全性，但仍需要 Kubernetes Secret 来存储加密后的数据，且管理复杂。将 GSA 导出为 .json 文件并作为卷传递给容器不安全，因为 .json 文件包含敏感凭据，存在泄露风险。