Una aplicación de GKE debe realizar solicitudes autorizadas a los servicios gestionados de Google Cloud. Ya ha creado una cuenta de servicio con los roles de IAM necesarios. Para una configuración segura única que evite claves de larga duración y admita la rotación automática de claves, ¿qué debe hacer a continuación?

Workload Identity es la forma recomendada y más segura de permitir que las aplicaciones que se ejecutan en GKE accedan a los servicios de Google Cloud. Vincula una cuenta de servicio de Kubernetes con una cuenta de servicio de Google Cloud, lo que permite que los Pods actúen como la cuenta de servicio de Google Cloud sin necesidad de exportar claves. Esto elimina las claves de larga duración y admite la rotación automática de credenciales. Exportar la cuenta de servicio como un Secret de Kubernetes, incrustarla en el código o usar HashiCorp Vault para claves estáticas introduce riesgos de seguridad al manejar claves de larga duración que requieren gestión manual y son susceptibles de ser comprometidas.