ワークロードアイデンティティ
ワークロード（Pod、Lambda、コンテナ）が長期有効の認証情報なしでクラウドリソースにアクセスできるようにする仕組み。プラットフォームがワークロードの身元に基づいて短命のトークンを発行するため、コード内のサービスアカウントキーが不要になる。
GCP の Workload Identity Federation は、Kubernetes のサービスアカウントトークンを OIDC の信頼関係を通じて GCP のアクセストークンと交換する。AWS の IRSA（IAM Roles for Service Accounts）も同じ発想で、EKS 専用だ。Azure Workload Identity は、外部 OIDC 発行元のトークンを受け付けるフェデレーション資格情報を Azure アプリに設定する。クラウドをまたぐ利用も可能で、GCP は AWS IAM や GitHub Actions の OIDC、独自の OIDC プロバイダーを受け入れるため、CI/CD から静的なクラウド認証情報を排除できる。
セキュリティ上の利点は明快で、Secret や環境変数にサービスアカウントキーを置かないので、漏洩のしようがない。