GKE 應用程式必須向 Google Cloud 受管服務發出經過授權的請求。您已經建立了一個具有所需 IAM 角色的服務帳戶。為了實現一次性安全設定，避免使用長期有效的金鑰並支援自動金鑰輪替，您接下來應該怎麼做？

Workload Identity 是將 GKE 服務帳戶連結到 Google Cloud 服務帳戶的推薦方式。它允許 GKE Pod 以 Google Cloud 服務帳戶的身分執行，從而獲得該服務帳戶的 IAM 權限，而無需管理和分發服務帳戶金鑰。這提供了更高的安全性，因為它消除了長期有效金鑰的需求，並支援自動金鑰輪替。將服務帳戶匯出為 Kubernetes Secret 或嵌入原始碼會引入安全風險，因為金鑰可能被洩露。使用 HashiCorp Vault 雖然可以管理密鑰，但 Workload Identity 是 Google Cloud 原生且更整合的解決方案，特別是針對 GKE 應用程式。