Mikrousługa GKE potrzebuje poświadczeń do lokalnej bazy danych innej firmy, które muszą być rotacyjne i zgodne z najlepszymi praktykami. Jak należy przechowywać i zarządzać tymi poświadczeniami?

Prawidłowa odpowiedź to przechowywanie poświadczeń jako Kubernetes Secret i używanie wtyczki Cloud KMS do szyfrowania/deszyfrowania. Kubernetes Secrets to standardowy sposób bezpiecznego przechowywania poufnych danych w klastrze Kubernetes. Integracja z Cloud KMS (Key Management Service) zapewnia dodatkową warstwę bezpieczeństwa, szyfrując te sekrety za pomocą kluczy zarządzanych przez Google Cloud, co jest zgodne z najlepszymi praktykami rotacji i zarządzania poświadczeniami. Przechowywanie poświadczeń w proxy kontenera sidecar nie zapewnia natywnego szyfrowania ani mechanizmów rotacji. Używanie service mesh kontroluje ruch sieciowy, ale nie zarządza przechowywaniem ani szyfrowaniem samych poświadczeń. Przechowywanie poświadczeń na zaszyfrowanym woluminie zamontowanym za pomocą PersistentVolumeClaim jest mniej elastyczne i bezpieczne niż Kubernetes Secrets z KMS, ponieważ zarządzanie kluczami szyfrującymi wolumin staje się dodatkowym wyzwaniem, a rotacja poświadczeń jest trudniejsza do zaimplementowania.