Un microservizio GKE necessita di credenziali per un database di terze parti on-premises che devono essere ruotabili e seguire le migliori pratiche. Come si dovrebbero archiviare e gestire le credenziali?

La risposta corretta è archiviare le credenziali come Kubernetes Secret e utilizzare il plugin Cloud KMS per la crittografia/decrittografia. Kubernetes Secrets sono progettati per archiviare dati sensibili come le credenziali. L'integrazione con Cloud KMS (Key Management Service) fornisce una crittografia a riposo gestita da Google, garantendo che i Secret siano crittografati con chiavi gestite esternamente a Kubernetes, aumentando la sicurezza e consentendo la rotazione delle chiavi. Le altre opzioni sono meno appropriate: Un proxy container sidecar può gestire la connettività, ma non è il metodo principale per archiviare credenziali sensibili in modo sicuro e ruotabile. Una service mesh gestisce il traffico di rete e le policy, non è un meccanismo per l'archiviazione sicura delle credenziali. Archiviare le credenziali su un volume crittografato tramite PersistentVolumeClaim non è la soluzione ideale per le credenziali di microservizi, poiché i PVC sono tipicamente per dati persistenti e non offrono la stessa gestione del ciclo di vita e rotazione delle credenziali di un Secret integrato con KMS.