Kapsayıcınız GKE'de çalışıyor ve bir sırra ihtiyacı var. Hangi güvenli yaklaşımı kullanmalısınız?

Doğru seçenek, hassas verileri güvenli bir şekilde yönetmek için Google Cloud'un önerdiği en iyi uygulamaları kullanır. Secret Manager, sırları merkezi ve güvenli bir şekilde depolamak için tasarlanmış yönetilen bir hizmettir. Workload Identity, Kubernetes hizmet hesaplarının (KSA'lar) Google hizmet hesapları (GSA'lar) gibi davranmasına olanak tanıyarak, kapsayıcıların Secret Manager gibi Google Cloud hizmetlerine kimlik bilgilerini kodlamadan veya hassas dosyaları birim olarak bağlamadan güvenli bir şekilde erişmesini sağlar. Diğer seçenekler daha az güvenlidir veya en iyi uygulamalara uymaz: Kubernetes Secret'ları ortam değişkeni olarak geçirmek, sırların kapsayıcı görüntüsünde veya günlüklerde açığa çıkma riskini artırır. Kubernetes Secret'ları varsayılan olarak şifrelenmez ve ortam değişkenleri genellikle kolayca erişilebilir. Uygulama Katmanı Gizli Şifrelemesi, Kubernetes Secret'larını depoda şifreler ancak çalışma zamanında hala açığa çıkabilirler. Ayrıca, sır yönetimi için Secret Manager'ın sunduğu tüm özellikleri sağlamaz. GSA anahtarını bir .json dosyası olarak dışa aktarmak ve bir birim olarak bağlamak, anahtarın dosya sisteminde açığa çıkma riskini taşır ve anahtar rotasyonu ve yönetimi için ek yük oluşturur. Workload Identity, bu tür statik anahtar dosyalarına olan ihtiyacı ortadan kaldırır.