为 Google Workspace 用户构建一个可扩展的内部 Web 应用程序，使用云原生、低管理选项。您应该如何部署和认证访问？（选择两项。）

将应用程序容器化并部署到 Cloud Run 是正确的，因为它提供了完全托管的无服务器平台，支持容器，自动扩展，并且管理开销极低，非常适合云原生应用。启用 Identity-Aware Proxy (IAP) 并授予用户 roles/iap.httpsResourceAccessor IAM 角色是正确的，因为 IAP 允许您在应用层对用户进行身份验证和授权，而无需 VPN 或防火墙规则，并且 roles/iap.httpsResourceAccessor 角色专门用于访问由 IAP 保护的 HTTPS 资源，这与 Google Workspace 用户的内部 Web 应用场景相符。 创建 Compute Engine VM 需要手动管理服务器和扩展，不符合“低管理”要求。配置 Cloud SQL 用户表并添加登录屏幕会增加认证的复杂性，且不是 Google Cloud 原生的推荐方式。roles/iap.tunnelResourceAccessor 角色用于通过 IAP 隧道访问 TCP 资源，而不是 HTTPS Web 应用程序。