Sichern Sie den Zugriff der Anwendungsplattform auf Google Cloud gemäß den Best Practices von Google. Was implementieren Sie?

Workload Identity ist die empfohlene Methode, um Anwendungen, die in Google Kubernetes Engine (GKE) ausgeführt werden, den Zugriff auf Google Cloud-Dienste zu ermöglichen. Es verknüpft Kubernetes Service Accounts mit Google Cloud Service Accounts, wodurch Pods die Identität des Google Cloud Service Accounts annehmen können. Dies ermöglicht eine feingranulare Zugriffssteuerung und vermeidet das Speichern von Anmeldeinformationen in der Anwendung. Das direkte Speichern von Secrets in Kubernetes Secrets (obfuskiert) ist unsicher, da sie nicht verschlüsselt sind. Die Verwendung von Application-Layer Secrets Encryption in Kubernetes Secrets verbessert die Sicherheit, aber Workload Identity ist die bevorzugte Methode für den Zugriff auf Cloud-Dienste. Die Bereitstellung von HashiCorp Vault auf Compute Engine ist eine praktikable Option für das Secrets Management, aber Workload Identity ist die native und oft einfachere Lösung für GKE-Workloads, die auf Google Cloud-Dienste zugreifen müssen.