異なる Google Cloud API へのアクセスを必要とする GKE ワークロードの場合、Google が推奨するベストプラクティスに従う認証方法はどれですか？（2つ選択してください。）

GKEワークロードがGoogle Cloud APIにアクセスするための推奨される認証方法はWorkload Identityです。これは、KubernetesサービスアカウントをGoogleサービスアカウントにバインドすることで、GKEワークロードがGoogle Cloudリソースに安全にアクセスできるようにします。この設定には、まずクラスタでWorkload Identityを有効にし、次にroles/iam.workloadIdentityUserロールを使用してKubernetesサービスアカウントとGoogleサービスアカウントをバインドする手順が含まれます。 他の選択肢は推奨されません。GKEノードにアタッチされたサービスアカウントを使用すると、ノード上のすべてのワークロードが同じ権限を持つことになり、最小権限の原則に反します。Googleサービスアカウントキーを直接使用したり、シークレット管理サービスに保存したりすることは、キーの漏洩リスクを高め、推奨される安全な認証方法ではありません。