Um aplicativo Cloud Run precisa acessar imagens em um bucket privado do Cloud Storage. Você deve conceder acesso de forma segura, seguindo as melhores práticas do Google. O que você deve fazer?

A opção correta é aplicar a prevenção de acesso público ao bucket e configurar o serviço Cloud Run para usar uma conta de serviço gerenciada pelo usuário, concedendo a essa conta a função Storage Object Viewer. A prevenção de acesso público garante que o bucket não seja acessível publicamente, aumentando a segurança. Usar uma conta de serviço gerenciada pelo usuário para o Cloud Run é uma prática recomendada, pois permite um controle de permissões mais granular e segue o princípio do menor privilégio, evitando conceder permissões excessivas à conta de serviço padrão do Compute Engine. URLs assinadas são para acesso temporário e não para acesso contínuo de um serviço, e a conta de serviço padrão do Compute Engine geralmente tem permissões mais amplas do que o necessário para um serviço específico.