Un'applicazione Go in produzione su GKE necessita dell'accesso a BigQuery. Seguendo le best practice di Google, come dovresti concedere l'accesso?

L'opzione corretta descrive l'utilizzo di Workload Identity, la best practice raccomandata da Google per consentire ai carichi di lavoro GKE di accedere in modo sicuro ai servizi Google Cloud. Workload Identity associa un account di servizio Kubernetes a un account di servizio Google Cloud. Questo permette ai pod di autenticarsi come l'account di servizio Google Cloud senza dover gestire o distribuire chiavi di account di servizio. Le opzioni che suggeriscono di memorizzare chiavi JSON (sia in Secret Manager che come secret di Kubernetes) sono meno sicure e più complesse da gestire. La gestione manuale delle chiavi aumenta il rischio di esposizione e richiede rotazioni periodiche. L'uso di un initContainer per fornire il secret non risolve il problema di sicurezza intrinseco della gestione delle chiavi. Workload Identity elimina la necessità di gestire le chiavi, migliorando la sicurezza e la gestibilità.