Um serviço Python do Cloud Run precisa de acesso de leitura/gravação a um bucket do Cloud Storage no mesmo projeto com o mínimo de privilégios. O que você deve fazer?

A opção correta garante o princípio do menor privilégio. Ao criar uma conta de serviço gerenciada pelo usuário e atribuir uma função IAM personalizada, você pode conceder apenas as permissões específicas de leitura/gravação necessárias para o bucket do Cloud Storage, sem conceder acesso desnecessário a outros recursos. Atribuir a função de Administrador do Storage (Storage Admin) seria um excesso de privilégios, pois concede controle total sobre todos os buckets e objetos, não apenas o acesso de leitura/gravação a um bucket específico. A função de Editor do Projeto (Project Editor) também é muito ampla, concedendo permissões de edição para a maioria dos recursos dentro do projeto, o que viola o princípio do menor privilégio. Usar a conta de serviço padrão do Cloud Run não é ideal, pois ela geralmente possui um conjunto de permissões mais amplo do que o necessário e não permite o controle granular exigido pelo princípio do menor privilégio.