Votre conteneur s'exécute dans GKE et a besoin d'un secret. Quelle approche sécurisée devriez-vous utiliser ?

La bonne approche consiste à utiliser Secret Manager pour stocker les secrets de manière centralisée et sécurisée. Workload Identity est la méthode recommandée dans GKE pour permettre aux charges de travail Kubernetes (via un KSA) d'accéder aux ressources Google Cloud (via un GSA) sans avoir à gérer des clés de service. Cette configuration garantit que le conteneur peut récupérer le secret de Secret Manager avec les autorisations minimales nécessaires. Les autres options sont moins sécurisées ou moins efficaces : Transmettre un Secret Kubernetes en tant que variable d'environnement peut exposer le secret à d'autres processus sur le même nœud ou dans les journaux. Le chiffrement des secrets au niveau de l'application avec KMS protège le secret au repos, mais ne gère pas la distribution sécurisée au conteneur. Exporter un GSA sous forme de fichier .json et le monter en tant que volume est une pratique déconseillée car cela revient à distribuer une clé de service, ce qui est moins sécurisé et plus difficile à gérer que Workload Identity.