다른 Google Cloud API에 액세스해야 하는 GKE 워크로드의 경우, Google에서 권장하는 모범 사례를 따르는 인증 방식은 무엇입니까? (두 가지 선택)

GKE 워크로드가 다른 Google Cloud API에 안전하게 액세스하려면 Workload Identity를 사용하는 것이 Google에서 권장하는 모범 사례입니다. Workload Identity는 Kubernetes 서비스 계정을 Google 서비스 계정에 연결하여 Pod가 Google Cloud 리소스에 액세스할 수 있도록 합니다. 이를 활성화하려면 먼저 gcloud 명령줄 도구를 통해 클러스터에서 Workload Identity를 활성화해야 합니다. 그 다음, gcloud를 사용하여 roles/iam.workloadIdentityUser 역할을 통해 특정 Kubernetes 서비스 계정과 Google 서비스 계정을 바인딩해야 합니다. GKE 노드에 연결된 서비스 계정을 사용하는 것은 권장되지 않습니다. 이는 노드의 모든 Pod가 동일한 권한을 갖게 되어 최소 권한 원칙에 위배되기 때문입니다. Google 서비스 계정 키를 보안 비밀 관리 서비스에 저장하거나 액세스하는 것은 키 관리에 대한 부담을 증가시키고, 키 유출 시 보안 위험이 있어 권장되지 않습니다. Workload Identity는 키를 사용하지 않고도 안전한 인증을 제공합니다.