Workload Identity
Recurso de nuvem em que uma carga de trabalho (pod, lambda, contêiner) acessa recursos da nuvem sem credenciais de longa duração. A plataforma emite tokens de curta duração com base na identidade da carga. Elimina chaves de conta de serviço no código.
GCP Workload Identity Federation: o token da Kubernetes Service Account é trocado por um token de acesso do GCP via relação de confiança OIDC. AWS IRSA (IAM Roles for Service Accounts): a mesma ideia, específica do EKS. Azure Workload Identity: credencial federada em um app do Azure que aceita um token de um emissor OIDC externo. Uso entre nuvens: o GCP Workload Identity Federation aceita AWS IAM, OIDC do GitHub Actions e provedores OIDC próprios → CI/CD sem credenciais estáticas de nuvem. Ganho de segurança: nenhuma chave de conta de serviço em Secret ou variável de ambiente → sem risco de vazamento.