您的團隊使用 Terraform Cloud 管理 GCP 資源，並希望以最少的配置變更實現最安全的身份驗證。Terraform 應該如何向 Google Cloud API 進行身份驗證？

正確答案是設定 Terraform Cloud 使用 Workload Identity Federation 向 Google Cloud API 進行身份驗證。Workload Identity Federation 允許 Terraform Cloud 直接向 Google Cloud 進行身份驗證，而無需管理長期存在的服務帳戶金鑰，這提供了最高的安全性。它透過建立信任關係，讓 Terraform Cloud 能夠模擬 Google 服務帳戶。 在 GKE 或 Compute Engine VM 上執行 Terraform 雖然可行，但會增加基礎設施管理負擔，且不直接利用 Terraform Cloud 的整合能力。上傳服務帳戶 JSON 金鑰雖然能運作，但金鑰管理存在安全風險，一旦洩露可能導致嚴重後果，不符合「最安全」的要求。