Workload Identity
Облачный механизм, при котором рабочая нагрузка получает доступ к ресурсам без долгоживущих ключей: платформа выдаёт краткоживущие токены.
Ключи сервисных аккаунтов в коде больше не нужны. GCP Workload Identity Federation обменивает токен сервисного аккаунта Kubernetes на токен доступа GCP через доверие OIDC. AWS IRSA (IAM Roles for Service Accounts) делает то же самое, но только для EKS. В Azure Workload Identity на приложении настраивается федеративные учётные данные, принимающие токен внешнего OIDC-провайдера. Между облаками это работает тоже: GCP принимает AWS IAM, OIDC GitHub Actions и собственные OIDC-провайдеры, так что CI/CD обходится без статических облачных секретов. Выигрыш для безопасности очевиден: ключа в Secret или переменной окружения нет, значит, и утечь ему нечему.