Mecanismo que permite que cargas de trabajo externas (pipelines de CI/CD como GitHub Actions, aplicaciones en AWS o Azure, o sistemas on-premises) intercambien su token OIDC o SAML por credenciales de corta duración de Google Cloud, sin claves de cuentas de servicio.
En el ACE es la respuesta cuando una política prohíbe guardar claves de cuentas de servicio fuera de Google Cloud. En GKE existe una variante, Workload Identity Federation for GKE, para que los Pods obtengan permisos propios.
Workload Identity Federation es uno de los conceptos que puede aparecer en el examen. Revisa la guía completa para verlo en contexto.