Sie müssen Pods in GKE so konfigurieren, dass sie sicher und gemäß Best Practices auf Google Cloud-Dienste projektübergreifend zugreifen können. Was sollten Sie tun?

Die Verwendung eines Google-Dienstkontos für den Pod über Workload Identity ist die empfohlene und sicherste Methode. Workload Identity bindet ein Kubernetes-Dienstkonto an ein Google-Dienstkonto, wodurch Pods direkt auf Google Cloud-Dienste zugreifen können, ohne Dienstkontoschlüssel manuell verwalten oder auf die Knotenidentität angewiesen sein zu müssen. Dies entspricht dem Prinzip der geringsten Rechte. Ein Google-Dienstkonto den GKE-Knoten zuzuweisen, gewährt allen Pods auf diesem Knoten die Berechtigungen des Knotendienstkontos, was ein Sicherheitsrisiko darstellt. Google-Dienstkonto-Anmeldeinformationen als Kubernetes Secret zu speichern, ist unsicher, da Secrets nicht für die Speicherung von sensiblen, langlebigen Anmeldeinformationen konzipiert sind und ein Risiko darstellen, wenn sie kompromittiert werden. Ein Google-Dienstkonto mit GKE Role-Based Access Control (RBAC) zu verwenden, ist irreführend, da RBAC die Berechtigungen innerhalb des Kubernetes-Clusters steuert, nicht den Zugriff auf externe Google Cloud-Dienste.