Une application GKE doit effectuer des requêtes autorisées vers des services gérés Google Cloud. Vous avez déjà créé un compte de service avec les rôles IAM requis. Pour une configuration sécurisée unique qui évite les clés à longue durée de vie et prend en charge la rotation automatique des clés, que devez-vous faire ensuite ?

Workload Identity est la méthode recommandée pour permettre aux applications GKE d'accéder en toute sécurité aux services Google Cloud. Il lie un compte de service Kubernetes à un compte de service Google Cloud, permettant aux Pods d'agir en tant que compte de service Google Cloud sans stocker de clés. Cela élimine le besoin de clés à longue durée de vie et prend en charge la rotation automatique des informations d'identification, améliorant ainsi la sécurité. Exporter le compte de service et le partager en tant que Kubernetes Secret ou l'intégrer dans le code source introduit des risques de sécurité liés à la gestion des clés. HashiCorp Vault est une solution de gestion de secrets, mais Workload Identity est la solution native et intégrée de Google Cloud pour ce cas d'utilisation spécifique dans GKE.