Necesitas que los pods en GKE accedan a los servicios de Google Cloud entre proyectos de forma segura y siguiendo las mejores prácticas. ¿Qué debes hacer?

La opción correcta es usar una cuenta de servicio de Google para el Pod a través de Workload Identity. Workload Identity es la forma recomendada y más segura para que las aplicaciones que se ejecutan en GKE accedan a los servicios de Google Cloud. Permite que una cuenta de servicio de Kubernetes actúe como una cuenta de servicio de Google, lo que significa que los pods pueden autenticarse directamente con las APIs de Google Cloud sin necesidad de claves de cuenta de servicio o credenciales almacenadas. Asignar una cuenta de servicio de Google a los nodos de GKE otorga los mismos permisos a todos los pods en ese nodo, lo cual es menos seguro y no sigue el principio de privilegio mínimo. Almacenar credenciales como un Secret de Kubernetes presenta riesgos de seguridad si el Secret se ve comprometido. Usar RBAC de GKE controla los permisos dentro del clúster de Kubernetes, no el acceso a los servicios de Google Cloud externos.