Workload Identity
Cloudfunctie waarmee een workload (pod, lambda, container) toegang tot cloudresources krijgt zonder langlevende inloggegevens. Het platform geeft kortlevende tokens uit op basis van de identiteit van de workload, zodat serviceaccountsleutels in code overbodig worden.
GCP Workload Identity Federation: een Kubernetes Service Account-token wordt via OIDC-vertrouwen ingewisseld voor een GCP-toegangstoken. AWS IRSA (IAM Roles for Service Accounts): hetzelfde idee, specifiek voor EKS. Azure Workload Identity: een gefedereerde credential op een Azure-app die een token van een externe OIDC-uitgever accepteert. Cross-cloud: GCP Workload Identity Federation accepteert AWS IAM, GitHub Actions OIDC en eigen OIDC-providers, dus CI/CD kan zonder statische cloudgegevens. De winst voor de beveiliging: geen serviceaccountsleutel in een Secret of omgevingsvariabele, dus geen lekrisico.