Una aplicación Go en GKE en producción necesita acceso a BigQuery. Siguiendo las mejores prácticas de Google, ¿cómo debería conceder el acceso?

La opción correcta es usar Workload Identity. Esta es la práctica recomendada de Google para permitir que las cargas de trabajo de GKE accedan de forma segura a los servicios de Google Cloud. Workload Identity vincula una cuenta de servicio de Kubernetes a una cuenta de servicio de Google, permitiendo que las aplicaciones en GKE se autentiquen automáticamente con las credenciales de la cuenta de servicio de Google sin necesidad de manejar claves JSON. Las opciones que implican almacenar claves JSON (ya sea en Secret Manager o como secretos de Kubernetes) son menos seguras y más difíciles de gestionar. Las claves JSON son credenciales de larga duración que, si se exponen, pueden comprometer el acceso. Workload Identity elimina la necesidad de gestionar estas claves directamente en la aplicación o en el clúster, mejorando la postura de seguridad y la operabilidad.