Workload Identity (tożsamość obciążenia)
Funkcja chmury, w której obciążenie (pod, lambda, kontener) uzyskuje dostęp do zasobów bez długotrwałych poświadczeń: platforma wydaje krótkotrwałe tokeny na podstawie tożsamości obciążenia. Likwiduje klucze kont usługowych w kodzie.
GCP Workload Identity Federation: token Kubernetes Service Account jest wymieniany na token dostępu GCP dzięki zaufaniu OIDC. AWS IRSA (IAM Roles for Service Accounts): ten sam pomysł, specyficzny dla EKS. Azure Workload Identity: sfederowane poświadczenie w aplikacji Azure, przyjmujące token od zewnętrznego wystawcy OIDC. Zastosowanie międzychmurowe: GCP Workload Identity Federation akceptuje AWS IAM, OIDC GitHub Actions i własnych dostawców OIDC, więc CI/CD działa bez statycznych kluczy chmurowych. Zysk dla bezpieczeństwa: brak klucza konta usługowego w Secrecie czy zmiennej środowiskowej, a więc brak ryzyka wycieku.