Su equipo gestiona los recursos de GCP con Terraform Cloud y desea la autenticación más segura con cambios mínimos de configuración. ¿Cómo debería autenticarse Terraform en las API de Google Cloud?

La opción correcta es configurar Terraform Cloud para usar Workload Identity Federation. Esta es la forma más segura y recomendada de autenticación para Terraform Cloud, ya que permite que Terraform Cloud asuma una identidad de Google Cloud sin necesidad de credenciales de larga duración, como claves de cuentas de servicio. Esto minimiza el riesgo de exposición de credenciales y se alinea con las mejores prácticas de seguridad de "confianza cero". Ejecutar Terraform en GKE o en una VM de Compute Engine son soluciones válidas para entornos gestionados por el usuario, pero el problema especifica que el equipo usa Terraform Cloud, lo que implica un entorno gestionado externo. Subir una clave JSON a Terraform Cloud es una opción menos segura porque las claves de cuentas de servicio son credenciales de larga duración que pueden ser robadas o expuestas, lo que va en contra del principio de seguridad de "cambios mínimos de configuración" para una autenticación más segura.