Eine GKE-Anwendung muss autorisierte Anfragen an von Google Cloud verwaltete Dienste stellen. Sie haben bereits ein Dienstkonto mit den erforderlichen IAM-Rollen erstellt. Was sollten Sie als Nächstes tun, um eine einmalige sichere Einrichtung zu gewährleisten, die langlebige Schlüssel vermeidet und die automatische Schlüsselrotation unterstützt?

Workload Identity ist die empfohlene Methode, um GKE-Workloads den Zugriff auf Google Cloud-Dienste zu ermöglichen. Es verknüpft ein Kubernetes-Dienstkonto mit einem Google Cloud-Dienstkonto. Dadurch kann die Anwendung die Identität des Google Cloud-Dienstkontos annehmen, um auf GCP-Ressourcen zuzugreifen, ohne dass Schlüsseldateien manuell verwaltet oder rotiert werden müssen. Dies erhöht die Sicherheit erheblich, da keine langlebigen Schlüssel im Pod oder in Secrets gespeichert werden. Das Exportieren von Dienstkonten als Kubernetes Secrets, das Einbetten in den Quellcode oder das Hochladen in Vault sind weniger sicher und erfordern eine manuelle Schlüsselverwaltung, was das Risiko von Schlüsselkompromittierungen erhöht und die automatische Rotation erschwert.