Ein Automatisierungssystem verwendet derzeit langlebige JSON-Dienstkontoschlüssel, die in einem Tresor gespeichert sind, für den API-Zugriff auf Netzwerkoperationen. Was ist die empfohlene sichere Alternative, um die Abhängigkeit von diesen Schlüsseln zu eliminieren?

Die empfohlene sichere Alternative ist die Verwendung von Workload Identity oder Workload Identity Federation. Diese Methoden ermöglichen es Workloads, kurzlebige Anmeldeinformationen direkt von Google Cloud zu erhalten, wodurch die Notwendigkeit langlebiger JSON-Dienstkontoschlüssel entfällt. Dies reduziert das Risiko von Schlüsselkompromittierungen erheblich, da die Anmeldeinformationen automatisch ablaufen und nicht manuell verwaltet oder rotiert werden müssen. Monatliche manuelle Rotation ist aufwändig und fehleranfällig und eliminiert nicht das Grundproblem langlebiger Schlüssel. OS Login ist für den SSH-Zugriff auf VMs gedacht und nicht für den API-Zugriff von Dienstkonten. Das Speichern von Schlüsseln in Secret Manager verbessert zwar die Speicherung, eliminiert aber nicht die Existenz langlebiger Schlüssel und das Deaktivieren der Protokollierung ist ein Sicherheitsrisiko.