Desenvolvedores usam muitas chaves de contas de serviço. Requisito: todas as contas de serviço que precisam de chaves são criadas no projeto pj-sa, e as chaves devem ser válidas por 1 dia. Minimize os custos e siga as recomendações do Google. O que você deve fazer?

A opção correta atende aos requisitos e segue as recomendações do Google Cloud. Impor uma política da organização para o tempo de vida máximo das chaves de contas de serviço (24 horas) garante que as chaves expirem conforme o necessário, minimizando o risco de chaves comprometidas. A política que nega a criação de chaves, exceto no projeto pj-sa, centraliza o gerenciamento de chaves e reforça a segurança, alinhando-se às melhores práticas de governança. As outras opções são menos eficazes ou não seguem as recomendações: Rotacionar chaves via Cloud Run ou Kubernetes CronJob é uma solução reativa e mais complexa do que uma política de tempo de vida. A política de negação de criação de chaves sem uma exceção para pj-sa impediria a criação necessária. Desabilitar a anexação de contas de serviço a recursos não está diretamente relacionado ao gerenciamento do tempo de vida das chaves e pode impactar a funcionalidade de outras aplicações. A restrição DENY sobre o tempo de vida das chaves não é o mecanismo correto para definir um tempo de vida máximo; a restrição de tempo de vida máximo é a abordagem adequada.