Vous avez besoin que les pods dans GKE accèdent aux services Google Cloud de manière sécurisée et conforme aux bonnes pratiques, et ce, à travers plusieurs projets. Que devez-vous faire ?

L'utilisation de Workload Identity est la méthode recommandée pour permettre aux pods GKE d'accéder aux services Google Cloud. Elle lie un compte de service Kubernetes à un compte de service Google, permettant aux pods d'assumer l'identité du compte de service Google sans stocker de clés de compte de service. Cela améliore la sécurité en éliminant le besoin de gérer des secrets et en permettant une rotation automatique des identifiants. Attribuer un compte de service Google aux nœuds GKE donne à tous les pods sur ce nœud les mêmes autorisations, ce qui est moins granulaire et peut violer le principe du moindre privilège. Stocker les identifiants en tant que Kubernetes Secret est moins sécurisé car les secrets peuvent être exposés et nécessitent une gestion manuelle. Utiliser un compte de service Google avec RBAC de GKE est incorrect car RBAC gère les autorisations au sein du cluster Kubernetes, pas l'accès aux services Google Cloud externes.