GKE 上で、あるマイクロサービスが Spanner データベースへの読み取り/書き込みアクセスを必要としています。最小限のコード変更でセキュリティのベストプラクティスに従うには、アプリケーションはどのように Spanner 認証情報を取得すべきですか？

Workload Identityは、KubernetesサービスアカウントをGoogleサービスアカウントにリンクすることで、PodがGoogle Cloudリソースに安全にアクセスできるようにするGKEの機能です。これにより、アプリケーションコードを変更することなく、GCPリソースへの認証と認可をGoogleサービスアカウントのIAMポリシーによって管理できます。 Kubernetes Secretsに認証情報を保存する方法は、認証情報をPodに直接公開するため、セキュリティリスクが高まります。VPC-nativeクラスターはネットワーク接続を改善しますが、認証情報の管理には直接関係ありません。Cloud KMSに認証情報を保存する方法は、認証情報の取得と復号化のロジックをアプリケーションに追加する必要があり、Workload Identityと比較して複雑です。