Ihr Container läuft in GKE und benötigt ein Secret. Welchen sicheren Ansatz sollten Sie verwenden?

Die Speicherung von Secrets im Secret Manager und die Verwendung von Workload Identity ist der sicherste und empfohlene Ansatz. Secret Manager bietet eine zentrale, verwaltete Lösung für Secrets, einschließlich Versionierung und Audit-Logs. Workload Identity ermöglicht es Kubernetes-Pods, als Google-Dienstkonten (GSAs) zu agieren, wodurch sie sicher auf Google Cloud-Ressourcen wie den Secret Manager zugreifen können, ohne dass Anmeldeinformationen in den Pods gespeichert werden müssen. Die Übergabe von Secrets als Umgebungsvariablen ist unsicher, da sie leicht ausgelesen werden können. Die anwendungsbezogene Secret-Verschlüsselung mit KMS schützt zwar die Secrets im Ruhezustand, aber die Secrets sind immer noch im Kubernetes-Secret-Objekt vorhanden und müssen sicher an die Anwendung übergeben werden. Das Exportieren eines GSA als JSON-Datei und das Übergeben als Volume ist unsicher, da die Schlüsseldatei im Container exponiert ist und bei Kompromittierung des Containers missbraucht werden könnte.