Il tuo team gestisce le risorse GCP con Terraform Cloud e desidera l'autenticazione più sicura con modifiche minime alla configurazione. Come dovrebbe autenticarsi Terraform alle API di Google Cloud?

L'opzione corretta è configurare Terraform Cloud per utilizzare Workload Identity Federation per autenticarsi alle API di Google Cloud. Questa è la soluzione più sicura e raccomandata per Terraform Cloud, poiché elimina la necessità di gestire chiavi di account di servizio a lungo termine. Workload Identity Federation consente a Terraform Cloud di scambiare le proprie credenziali con un token di accesso Google Cloud temporaneo, impersonando un account di servizio Google senza che la chiave dell'account di servizio venga mai esposta o archiviata in Terraform Cloud. Eseguire Terraform su GKE o una VM di Compute Engine è meno efficiente per un team che gestisce le risorse con Terraform Cloud, in quanto introdurrebbe un livello di gestione dell'infrastruttura non necessario per l'esecuzione di Terraform. Sebbene l'uso di account di servizio Kubernetes o VM sia sicuro in quei contesti, non è la soluzione più diretta per Terraform Cloud. Creare un account di servizio Google e caricare la sua chiave JSON su Terraform Cloud è sconsigliato per motivi di sicurezza. Le chiavi JSON sono credenziali a lungo termine che, se compromesse, possono concedere accesso illimitato alle risorse. Workload Identity Federation è progettata proprio per evitare questo rischio.