Proteggi l'accesso della piattaforma applicativa a Google Cloud seguendo le best practice di Google. Cosa implementi?

La Workload Identity è la best practice di Google per consentire ai carichi di lavoro in GKE di accedere in modo sicuro ai servizi Google Cloud. Mappa un account di servizio Kubernetes a un account di servizio Google, consentendo alle applicazioni di autenticarsi automaticamente e accedere alle risorse con le autorizzazioni minime necessarie, senza dover gestire credenziali esplicite. Le altre opzioni sono meno sicure o più complesse: Archiviare i segreti direttamente in Kubernetes Secrets (anche se offuscati) non è una pratica sicura per i segreti sensibili, poiché non fornisce una crittografia robusta o una gestione delle chiavi centralizzata. L'uso di Kubernetes Secrets con Application-Layer Secrets Encryption e Cloud KMS è un miglioramento, ma Workload Identity è preferibile per l'autenticazione ai servizi Google Cloud, in quanto elimina la necessità di gestire i segreti per l'autenticazione. Il deployment di HashiCorp Vault su Compute Engine introduce una complessità operativa aggiuntiva e una dipendenza da un sistema esterno, mentre Workload Identity è una soluzione nativa e integrata in Google Cloud.