在迁移过程中，本地基础设施必须将用户配置文件上传到 Datastore，同时 GCE VM 运行应用程序。您推荐哪种服务账号密钥策略？

对于本地基础设施，由于它位于 Google Cloud 外部，因此需要服务账号密钥文件进行身份验证，以便安全地上传用户配置文件到 Datastore。对于在 Google Compute Engine (GCE) 虚拟机上运行的应用程序，最佳实践是利用 GCP 托管的密钥。这意味着 GCE 虚拟机可以利用其关联的服务账号，通过元数据服务器自动获取短期凭据，而无需在虚拟机上存储静态密钥文件，这显著提高了安全性。使用用户账号进行本地身份验证不推荐，因为它通常不适合自动化和长期运行的任务。部署自定义身份验证服务会增加不必要的复杂性。