GKE の Pod が、プロジェクトをまたいで Google Cloud サービスに安全に、ベストプラクティスに従ってアクセスできるようにする必要があります。どうすればよいですか？

Workload Identity は、GKE Pod が Kubernetes サービスアカウントを Google サービスアカウントにリンクできるようにするベストプラクティスです。これにより、Pod は Google Cloud サービスに安全にアクセスでき、Google サービスアカウントの認証情報を直接 Pod に保存する必要がなくなります。GKE ノードに Google サービスアカウントを割り当てる方法は、ノード上のすべての Pod に同じ権限が付与されるため、最小権限の原則に反します。Google サービスアカウントの認証情報を Kubernetes Secret として保存する方法は、認証情報の漏洩リスクを高めるため、推奨されません。GKE RBAC は Kubernetes リソースへのアクセスを制御するものであり、Google Cloud サービスへのアクセスを管理するものではありません。