Een GKE microservice heeft credentials nodig voor een on-premises database van een derde partij die roteerbaar moeten zijn en best practices moeten volgen. Hoe moet u de credentials opslaan en beheren?

De juiste aanpak is om credentials op te slaan als een Kubernetes Secret en de Cloud KMS plugin te gebruiken voor encryptie/decryptie. Kubernetes Secrets zijn ontworpen voor het opslaan van gevoelige informatie zoals wachtwoorden en API-sleutels. Door de Cloud KMS plugin te gebruiken, worden de Secrets versleuteld met een door Google beheerde sleutel, wat voldoet aan best practices voor beveiliging en rotatie mogelijk maakt. Het opslaan van credentials in een sidecar container proxy is een patroon voor het beheren van verbindingen, maar niet voor de opslag en encryptie van de credentials zelf. Een service mesh regelt verkeer en beleid, maar beheert geen credential-opslag. Het opslaan van credentials op een versleutelde volume mount via een PersistentVolumeClaim is minder ideaal omdat het beheer van de encryptiesleutels complexer kan zijn en het minder geïntegreerd is met Kubernetes' native secret management.