GKE에서 마이크로서비스는 Spanner 데이터베이스에 대한 읽기/쓰기 액세스가 필요합니다. 최소한의 코드 변경으로 보안 모범 사례를 따르려면 애플리케이션이 Spanner 자격 증명을 어떻게 획득해야 합니까?

정답은 최소한의 코드 변경으로 Spanner에 안전하게 액세스하기 위한 Google Cloud의 권장 방법인 Workload Identity를 설명합니다. Workload Identity는 GKE 서비스 계정을 Google 서비스 계정에 연결하여 Pod가 Google Cloud 리소스에 액세스할 수 있도록 합니다. 이는 애플리케이션이 Google Cloud SDK 또는 클라이언트 라이브러리를 통해 자동으로 자격 증명을 획득할 수 있도록 하므로 코드 변경이 거의 필요하지 않습니다. Kubernetes Secrets에 자격 증명을 저장하는 것은 보안 위험이 있으며, 특히 Secrets이 암호화되지 않은 경우 더욱 그렇습니다. 또한 환경 변수로 노출하는 것은 Pod 내의 다른 프로세스에 의해 실수로 노출될 수 있습니다. VPC-native 클러스터를 사용하여 데이터베이스에 직접 연결하는 것은 네트워크 연결을 설정하지만, 인증 및 권한 부여 문제를 해결하지 못합니다. Cloud KMS에 자격 증명을 저장하는 것은 보안을 강화하지만, 각 데이터베이스 연결 시 자격 증명을 검색해야 하므로 복잡성이 증가하고 성능 오버헤드가 발생할 수 있습니다.