生产环境中的 Go 应用在 GKE 中需要访问 BigQuery。遵循 Google 最佳实践，您应该如何授予访问权限？

正确答案是“创建一个 Google 服务帐号和一个 Kubernetes 服务帐号，在集群上启用 Workload Identity，并将 Kubernetes 服务帐号绑定到 Deployment 的 Google 服务帐号。” 这是 Google Cloud 推荐的最佳实践，因为 Workload Identity 允许 GKE 中的 Kubernetes 服务帐号模拟 Google 服务帐号的身份。这样，您的 Go 应用可以直接使用 Google 客户端库默认凭据，而无需管理或分发服务帐号密钥文件，显著提高了安全性和管理便利性。 其他选项不理想： 将 JSON 密钥存储在 Secret Manager 或 Kubernetes secret 中，然后由应用直接使用，虽然可行，但存在密钥泄露的风险，并且需要手动管理密钥的生命周期和轮换，不如 Workload Identity 安全和自动化。Workload Identity 消除了在应用或集群中存储敏感密钥的需要。