Ihr Team verwaltet GCP-Ressourcen mit Terraform Cloud und möchte die sicherste Authentifizierung mit minimalen Konfigurationsänderungen. Wie sollte sich Terraform bei Google Cloud APIs authentifizieren?

Die Workload Identity Federation ermöglicht es Terraform Cloud, sich direkt bei Google Cloud APIs zu authentifizieren, ohne dass langfristige Anmeldeinformationen wie Dienstkontoschlüssel erforderlich sind. Dies erhöht die Sicherheit erheblich, da keine Schlüssel verwaltet oder rotiert werden müssen, und minimiert die Konfigurationsänderungen, da Terraform Cloud nativ integriert werden kann. Die Ausführung von Terraform auf GKE oder einer Compute Engine VM ist zwar technisch möglich, erfordert aber die Verwaltung einer zusätzlichen Infrastruktur und ist nicht die sicherste oder effizienteste Methode für Terraform Cloud. Das Hochladen von JSON-Schlüsseln von Dienstkonten ist unsicher, da diese Schlüssel gestohlen oder kompromittiert werden könnten und eine manuelle Rotation erfordern.