Je container draait in GKE en heeft een secret nodig. Welke veilige aanpak moet je gebruiken?

De correcte aanpak is om Secret Manager te gebruiken in combinatie met Workload Identity. Secret Manager is de aanbevolen, volledig beheerde dienst van Google Cloud voor het opslaan van gevoelige gegevens. Workload Identity koppelt een Kubernetes Service Account (KSA) aan een Google Service Account (GSA), waardoor de container veilig toegang krijgt tot Google Cloud-resources (zoals Secret Manager) zonder dat credentials direct in de container of als omgevingsvariabelen hoeven te worden opgeslagen. Dit is de meest veilige en idiomatische methode in GKE. Het doorgeven van een Kubernetes Secret als omgevingsvariabele is minder veilig omdat omgevingsvariabelen gemakkelijk kunnen worden gelezen binnen de container en in logs kunnen verschijnen. Application-layer Secret Encryption beveiligt Secrets op rest, maar regelt niet de toegang tot Secrets door de container. Het opslaan van credentials in Cloud KMS en deze via een JSON-bestand aan de container doorgeven is onveilig, omdat het JSON-bestand een statische credential bevat die gestolen kan worden.