Je app op Compute Engine heeft Google service account-credentials nodig op de VM-hosts. Wat is de meest veilige manier om credentials aan de VM's te leveren?

De meest veilige manier om credentials aan Compute Engine VM's te leveren, is door gebruik te maken van de Application Default Credentials (ADC) van het serviceaccount dat aan de VM-instantie is gekoppeld. Dit is de aanbevolen methode van Google Cloud omdat het automatisch de juiste autorisatie biedt voor Google Cloud API's zonder dat gevoelige sleutelbestanden handmatig hoeven te worden beheerd of opgeslagen. De VM-instantie verkrijgt automatisch een kortstondig toegangstoken op basis van de scopes die aan het serviceaccount zijn toegekend. Gesigneerde HTTP-URL's zijn bedoeld voor tijdelijke, geautoriseerde toegang tot specifieke bronnen, niet voor het leveren van serviceaccount-credentials aan VM's. Een P12-bestand genereren en kopiëren naar de VM is minder veilig omdat het een statische sleutel is die handmatig moet worden beheerd en een risico vormt bij diefstal. Credentials committen naar een source repository is een ernstig beveiligingsrisico, omdat dit de credentials blootstelt aan iedereen met toegang tot de repository.