Un'applicazione GKE deve effettuare richieste autorizzate ai servizi gestiti di Google Cloud. Hai già creato un account di servizio con i ruoli IAM richiesti. Per una configurazione sicura una tantum che eviti chiavi a lunga durata e supporti la rotazione automatica delle chiavi, cosa dovresti fare dopo?

Assegnare l'account di servizio Google Cloud al Pod GKE usando Workload Identity è la soluzione più sicura e raccomandata. Workload Identity consente ai Pod GKE di agire come account di servizio Google Cloud, eliminando la necessità di gestire chiavi di account di servizio. Questo approccio supporta la rotazione automatica delle credenziali e riduce il rischio di esposizione delle chiavi a lunga durata. Esportare l'account di servizio e condividerlo come Kubernetes Secret o incorporarlo nel codice sorgente introduce chiavi a lunga durata, aumentando i rischi di sicurezza e la complessità di gestione. Caricare l'account su HashiCorp Vault è una soluzione di gestione dei segreti, ma Workload Identity è nativamente integrato con GKE e offre un'esperienza più fluida e sicura per l'autorizzazione dei Pod ai servizi Google Cloud.