Система автоматизации в настоящее время использует долгосрочные ключи JSON сервисного аккаунта, хранящиеся в хранилище, для доступа к API сетевых операций. Какова рекомендуемая безопасная альтернатива, позволяющая исключить зависимость от этих ключей?

Правильный ответ — замена долгосрочных ключей на Workload Identity или федерацию удостоверений рабочих нагрузок. Долгосрочные ключи JSON сервисных аккаунтов представляют собой риск безопасности, поскольку их компрометация может предоставить неограниченный доступ. Workload Identity (для рабочих нагрузок Google Cloud) или федерация удостоверений рабочих нагрузок (для внешних рабочих нагрузок) позволяют рабочим нагрузкам получать кратковременные учетные данные, которые автоматически обновляются и имеют ограниченный срок действия, значительно снижая риск. Ежемесячная ручная ротация ключей снижает риск, но не устраняет его полностью и является трудоемкой. Включение OS Login не относится к доступу сервисного аккаунта к API. Хранение ключей в Secret Manager улучшает управление, но не решает проблему долгосрочных учетных данных, а отключение логирования доступа к хранилищу снижает прозрачность и безопасность.