Workload Identity
Funzionalità cloud con cui un workload (pod, lambda, container) accede alle risorse del cloud senza credenziali di lunga durata: la piattaforma emette token a breve scadenza in base all'identità del workload. Elimina le chiavi degli account di servizio dal codice.
GCP Workload Identity Federation: il token del Kubernetes Service Account viene scambiato con un token di accesso GCP tramite un rapporto di fiducia OIDC. AWS IRSA (IAM Roles for Service Accounts): stessa idea, specifica per EKS. Azure Workload Identity: credenziale federata su un'app Azure, che accetta il token di un issuer OIDC esterno. Uso multi-cloud: GCP Workload Identity Federation accetta AWS IAM, OIDC di GitHub Actions e provider OIDC personalizzati, quindi CI/CD senza credenziali cloud statiche. Vantaggio di sicurezza: nessuna chiave di account di servizio in un Secret o in una variabile d'ambiente, quindi nessun rischio di fuga.