Ein GKE-Microservice muss Dateien aus einem Cloud Storage-Bucket herunterladen. Sie haben ein Google IAM-Dienstkonto mit der Rolle „Storage Object Viewer“ für das Projekt. Gemäß den Best Practices von Google, wie sollte die Anwendung auf den Bucket zugreifen?
Wählen Sie eine Antwort
Tippen Sie auf eine Option, um Ihre Antwort zu überprüfen.
Richtige Antwort: Erstellen Sie ein Kubernetes ServiceAccount und binden Sie das Google IAM-Dienstkonto über eine IAM-Richtlinie an dieses ServiceAccount; annotieren Sie das Kubernetes ServiceAccount mit dem IAM-Kontonamen und verwenden Sie es für die Pods..
Warum dies die Antwort ist
Die korrekte Antwort beschreibt die Verwendung von Workload Identity, der empfohlenen Methode für den Zugriff auf Google Cloud-Dienste von GKE-Anwendungen aus. Workload Identity bindet ein Kubernetes ServiceAccount an ein Google IAM-Dienstkonto, sodass Pods, die dieses Kubernetes ServiceAccount verwenden, automatisch die Berechtigungen des IAM-Dienstkontos erben. Dies vermeidet die Notwendigkeit, Dienstkontoschlüssel direkt in der Anwendung oder im Cluster zu verwalten. Die Option, das IAM-Dienstkonto dem Cluster-Node-Pool zuzuweisen, ist weniger granular, da alle Pods auf diesen Knoten die gleichen Berechtigungen erhalten. Die Speicherung von JSON-Schlüsseln auf einem PV oder in Kubernetes Secrets ist eine schlechte Sicherheitspraxis, da es die Schlüsselverwaltung erschwert und das Risiko einer Offenlegung erhöht.
Bestehen Sie Ihre Prüfung – ohne endlose Antwortsuche
Erhalten Sie jede verifizierte Frage und Erklärung für diese Prüfung an einem Ort und sparen Sie Stunden der Vorbereitung. Über 1.000 Zertifizierungen · Über 20 Sprachen · Kostenloser Start.
Bestehen Sie Ihre Prüfung schneller → Keine Karte erforderlich