一個正式環境的 Go 應用程式在 GKE 上需要存取 BigQuery。根據 Google 的最佳實踐，您應該如何授予存取權限？

正確答案是建立一個 Google 服務帳戶和一個 Kubernetes 服務帳戶，在叢集上啟用 Workload Identity，並將 Kubernetes 服務帳戶綁定到 Deployment 的 Google 服務帳戶。這是 Google Cloud 推薦的最佳實踐，因為它提供了最安全且易於管理的方式來授權 GKE 上的應用程式存取 Google Cloud 服務。Workload Identity 允許 GKE 服務帳戶模擬 Google 服務帳戶，避免了在應用程式程式碼或 Kubernetes Secret 中硬編碼或管理服務帳戶金鑰的風險。 其他選項涉及使用 JSON 金鑰，這是一種不安全的做法。將金鑰儲存在 Secret Manager 或 Kubernetes Secret 中雖然比直接硬編碼好，但仍然需要管理金鑰的生命週期和輪替，並存在金鑰洩露的風險。Workload Identity 消除了對金鑰的需求，從而增強了安全性並簡化了憑證管理。