Musisz umożliwić podom w GKE bezpieczny dostęp do usług Google Cloud w różnych projektach, zgodnie z najlepszymi praktykami. Co należy zrobić?

Poprawną odpowiedzią jest użycie konta usługi Google dla poda za pośrednictwem Workload Identity. Workload Identity to zalecany sposób autoryzacji obciążeń GKE do bezpiecznego dostępu do usług Google Cloud. Umożliwia przypisanie konta usługi Google do konta usługi Kubernetes, co pozwala podom na uwierzytelnianie się jako konto usługi Google bez przechowywania kluczy. Przypisanie konta usługi Google do węzłów GKE jest mniej granularne i mniej bezpieczne, ponieważ wszystkie pody na węźle dziedziczą te same uprawnienia. Przechowywanie poświadczeń konta usługi Google jako Kubernetes Secret jest niezalecane ze względów bezpieczeństwa, ponieważ klucze są przechowywane w klastrze i mogą zostać skradzione. Użycie konta usługi Google z kontrolą dostępu opartą na rolach (RBAC) GKE dotyczy autoryzacji wewnątrz klastra Kubernetes, a nie dostępu do usług Google Cloud.