Które praktyki uwierzytelniania, dla obciążeń GKE, które potrzebują dostępu do różnych interfejsów API Google Cloud, są zgodne z zalecanymi przez Google najlepszymi praktykami? (Wybierz dwie.)

Włączenie Workload Identity w klastrze GKE za pomocą narzędzia gcloud jest pierwszym krokiem do bezpiecznego zarządzania tożsamościami. Workload Identity umożliwia aplikacjom działającym w GKE używanie kont usług Kubernetes do uwierzytelniania się w interfejsach API Google Cloud, co jest zgodne z zasadą najmniejszych uprawnień. Następnie, powiązanie konta usługi Kubernetes z kontem usługi Google za pomocą roli roles/iam.workloadIdentityUser jest kluczowe, ponieważ to ono faktycznie nadaje uprawnienia. Użycie konta usługi dołączonego do węzła GKE jest mniej bezpieczne, ponieważ wszystkie obciążenia na danym węźle dzielą te same uprawnienia. Uzyskiwanie dostępu do kluczy konta usługi Google z usługi zarządzania kluczami tajnymi lub przechowywanie ich tam, choć może wydawać się bezpieczne, nadal wiąże się z zarządzaniem kluczami, co jest mniej bezpieczne niż Workload Identity, które eliminuje potrzebę ich przechowywania.