Per i carichi di lavoro GKE che necessitano di accedere a diverse API di Google Cloud, quali pratiche di autenticazione seguono le best practice consigliate da Google? (Scegliere due.)

Le opzioni corrette descrivono l'implementazione di Workload Identity, la pratica consigliata da Google per l'autenticazione dei carichi di lavoro GKE alle API di Google Cloud. Abilitare Workload Identity nel cluster (tramite gcloud container clusters update --workload-identity-config) è il primo passo fondamentale. Successivamente, è necessario associare un account di servizio Kubernetes a un account di servizio Google Cloud, utilizzando il ruolo roles/iam.workloadIdentityUser sull'account di servizio Google Cloud. Questo permette ai pod di autenticarsi come l'account di servizio Google Cloud senza la necessità di chiavi. L'utilizzo dell'account di servizio collegato al nodo GKE non è una best practice perché concede privilegi eccessivi a tutti i pod sul nodo. Accedere o archiviare chiavi dell'account di servizio in un servizio di gestione dei segreti, sebbene sia più sicuro rispetto all'incorporazione diretta nel codice, introduce comunque la complessità della gestione delle chiavi e il rischio di esposizione, che Workload Identity elimina.