Welche Authentifizierungspraktiken entsprechen den von Google empfohlenen Best Practices für GKE-Workloads, die Zugriff auf verschiedene Google Cloud APIs benötigen? (Wählen Sie zwei.)

Workload Identity ist die empfohlene Best Practice für GKE-Workloads, um sicher auf Google Cloud APIs zuzugreifen. Das Aktivieren von Workload Identity im Cluster über das gcloud-Befehlszeilentool ist der erste Schritt. Anschließend müssen Sie das Kubernetes-Dienstkonto und das Google-Dienstkonto mithilfe der Rolle roles/iam.workloadIdentityUser binden. Dies ermöglicht es Kubernetes-Pods, die Identität eines Google-Dienstkontos anzunehmen, wodurch sie auf Google Cloud APIs zugreifen können, ohne Dienstkontoschlüssel in der Anwendung speichern zu müssen. Die Verwendung des an den GKE-Knoten angehängten Dienstkontos ist weniger granular und birgt ein höheres Sicherheitsrisiko. Das Speichern von Dienstkontoschlüsseln in einem Secret-Management-Dienst oder der direkte Zugriff darauf ist ebenfalls weniger sicher und schwieriger zu verwalten als Workload Identity.