Welke authenticatiepraktijken volgen de door Google aanbevolen best practices voor GKE-workloads die toegang nodig hebben tot verschillende Google Cloud API's? (Kies er twee.)

Workload Identity is de aanbevolen methode voor GKE-workloads om veilig toegang te krijgen tot Google Cloud API's. Het stelt Kubernetes-serviceaccounts in staat om te fungeren als Google-serviceaccounts. De eerste stap is het inschakelen van Workload Identity op het GKE-cluster, wat met de gcloud command-line tool kan. Vervolgens moet je een Kubernetes-serviceaccount koppelen aan een Google-serviceaccount. Dit doe je door de gcloud tool te gebruiken om een IAM-beleidsbinding te maken met de rol roles/iam.workloadIdentityUser, waardoor het Kubernetes-serviceaccount de identiteit van het Google-serviceaccount kan aannemen. Het gebruik van het serviceaccount dat aan de GKE-node is gekoppeld, is minder gedetailleerd en geeft alle pods op die node dezelfde rechten, wat een beveiligingsrisico vormt. Het opslaan of openen van Google-serviceaccountsleutels vanuit een secret management service wordt afgeraden omdat dit extra beheer met zich meebrengt en het risico op sleutellekken vergroot. Workload Identity elimineert de noodzaak om sleutels te beheren.