为什么要使用 Workload Identity？背景和目的
，管理服务帐户密钥是一个问题。使用 JSON 密钥进行身份验证很方便，但存在以下问题：
- 密钥泄露风险：存在密钥可能被意外上传到公共存储库或在受损环境中被检索的风险。
- 轮换管理：未能正确管理密钥过期和更新可能会导致安全漏洞。
- 权限配置错误：使用 JSON 密钥使得应用适当的 IAM 角色变得困难，并且存在授予过多权限的风险。
Workload Identity 有助于消除这些风险并加强零信任环境中的身份验证管理。
Workload Identity 和 IAM 之间有什么关系？
IAM（身份和访问管理）是 Google Cloud 中访问控制的基础。 Workload Identity 与 IAM 和 Kubernetes KSA 集成，提供云原生身份验证框架。 IAM 负责管理对特定资源的访问控制并为用户和服务账户分配适当的角色。
Workload Identity 利用此 IAM 机制通过对每个 Pod 应用最小特权策略来提高安全性。与 IAM 的集成还可以轻松集中管理 Pod 凭据并记录审计日志。
Workload Identity 的主要用例
Workload Identity 在以下场景中特别有用：
1. 访问云存储 (GCS)：Kubernetes Pod 可以使用 Workload Identity 安全地访问 GCS 存储桶。
2. BigQuery 数据处理：通过为运行数据 铸币数据 分析作业的 Kubernetes 工作负载分配适当的 IAM 角色，可以实现安全的数据处理。
3. 使用 Cloud Pub/Sub：通过利用 Workload Identity，可以实现微服务之间的安全消息通信。
4. 与 Cloud SQL 和 Firestore 集成：使用 Workload Identity 安全访问您的数据库。
5. 与无服务器服务（Cloud Run）集成：通过使用 Workload Identity，可以安全地执行服务之间的身份验证。
对于这些用例，Workload Identity 可以帮助消除对服务帐户密钥管理的需要，从而提供安全性和操作简单性。
Workload Identity 的优势：它与传统身份验证方法有何不同
与传统的身份验证方法相比，Workload Identity 在提高安全性和运营效率方面具有优势。具体来说，与使用 JSON 密钥的身份验证方法相比，一个主要的优点是不需要密钥管理。通过将 IAM 角色与 Kubernetes 服务帐号 (KSA) 关联，Workload Identity 允许您授予访问 Google Cloud 资源的权限。这种机制减少了管理私钥的负担，降低了安全事件的风险。它还有助于实现零信任环境，并且由于可以逐个 pod 精细设置访问控制，因此它与微服务环境兼容。