Eine Go-Anwendung in der Produktionsumgebung von GKE benötigt BigQuery-Zugriff. Wie sollten Sie den Zugriff gemäß den Best Practices von Google gewähren?

Die korrekte Antwort ist, Workload Identity zu verwenden. Dies ist die empfohlene Best Practice von Google, um Anwendungen, die in GKE ausgeführt werden, den Zugriff auf Google Cloud-Dienste zu ermöglichen. Workload Identity bindet ein Kubernetes-Dienstkonto an ein Google-Dienstkonto. Die Anwendung verwendet dann das Kubernetes-Dienstkonto, um sich bei Google Cloud zu authentifizieren, ohne dass Schlüsseldateien in der Anwendung oder im Cluster gespeichert werden müssen. Dies erhöht die Sicherheit erheblich, da keine sensiblen Anmeldeinformationen offengelegt werden. Die anderen Optionen sind weniger sicher oder nicht best practice-konform: Das Speichern von JSON-Schlüsseln im Secret Manager oder als Kubernetes-Secret und deren direkte Verwendung durch die Anwendung ist zwar funktionsfähig, birgt jedoch das Risiko, dass diese Schlüssel kompromittiert werden könnten. Es erfordert auch eine manuelle Schlüsselverwaltung und -rotation. Die Verwendung eines initContainer zum Bereitstellen des Secrets ändert nichts an der grundlegenden Sicherheitslücke, dass ein Schlüssel in irgendeiner Form im Cluster vorhanden ist und von der Anwendung direkt verwendet wird.