Configure permissões para que um conjunto de instâncias do Compute Engine possa gravar objetos em um bucket específico do Cloud Storage seguindo as melhores práticas. O que você deve fazer?

A melhor prática é usar o princípio do menor privilégio. Criar uma conta de serviço e conceder a ela a função storage.objectCreator nesse bucket específico permite que as instâncias do Compute Engine gravem objetos (criar e sobrescrever) sem conceder permissões excessivas, como exclusão ou gerenciamento de permissões do bucket. A opção de criar uma conta de serviço com escopo OAuth somente de gravação do Cloud Storage é menos granular e pode conceder mais permissões do que o necessário em um nível de projeto. A opção de escopo OAuth completo do Cloud Platform concede acesso irrestrito a todos os recursos do projeto, o que é uma violação grave do princípio do menor privilégio. A função storage.objectAdmin concederia permissões para gerenciar objetos, incluindo exclusão, o que não é necessário apenas para gravar.