Twój kontener działa w GKE i potrzebuje sekretu. Jakiego bezpiecznego podejścia należy użyć?

Prawidłowa odpowiedź wykorzystuje Secret Manager do bezpiecznego przechowywania poświadczeń, co jest zalecaną praktyką w Google Cloud. Następnie, dzięki Workload Identity, konto usługi Kubernetes (KSA) jest powiązane z kontem usługi Google (GSA), które ma uprawnienia do odczytu z Secret Manager. To eliminuje potrzebę przechowywania kluczy w kontenerze lub przekazywania ich jako zmiennych środowiskowych, co zwiększa bezpieczeństwo. Pozostałe opcje są mniej bezpieczne lub nieoptymalne: Przekazywanie sekretu jako zmiennej środowiskowej jest ryzykowne, ponieważ zmienne te mogą być łatwo ujawnione. Szyfrowanie sekretów na poziomie aplikacji (Application-layer Secret Encryption) chroni dane w spoczynku, ale nie rozwiązuje problemu bezpiecznego dostępu do nich z poziomu kontenera. Przechowywanie poświadczeń w Cloud KMS i eksportowanie GSA jako pliku .json do kontenera jest niebezpieczne, ponieważ plik ten może zostać skradziony.