Un microservicio de GKE necesita descargar archivos de un bucket de Cloud Storage. Usted tiene una cuenta de servicio de Google IAM con el rol Storage Object Viewer en el proyecto. Siguiendo las mejores prácticas de Google, ¿cómo debería la aplicación acceder al bucket?

La opción correcta describe Workload Identity, la práctica recomendada de Google para que las aplicaciones en GKE accedan a los servicios de Google Cloud. Workload Identity permite vincular un Kubernetes ServiceAccount a una Google Service Account. Los Pods que usan este Kubernetes ServiceAccount asumen automáticamente la identidad de la Google Service Account vinculada, obteniendo sus permisos (en este caso, Storage Object Viewer) sin necesidad de gestionar claves. Las otras opciones son incorrectas: Asignar la cuenta de servicio al grupo de nodos otorga los mismos permisos a todos los Pods en esos nodos, lo cual viola el principio de privilegio mínimo. Almacenar una clave JSON en un PV y cifrarla es una solución compleja y menos segura que Workload Identity, ya que implica la gestión manual de claves. Crear un Secret de Kubernetes con una clave codificada en base64 también es menos seguro y más propenso a errores que Workload Identity, ya que las claves de cuenta de servicio deben rotarse y gestionarse manualmente.