您需要保护 Cloud Function，以便授权的最终用户可以使用 Google Sign-In 通过您的应用进行身份验证，同时防止未经授权的访问。遵循 Google 最佳实践，您应该采取哪些部署和 IAM 操作？

正确答案是“从源代码库部署并授予用户 roles/cloudfunctions.invoker 角色”。 roles/cloudfunctions.invoker 角色允许用户调用 Cloud Function，这正是您希望授权最终用户通过 Google Sign-In 访问函数所需的权限。同时，从源代码库部署是最佳实践，因为它支持版本控制、CI/CD 集成和更好的可审计性。 roles/cloudfunctions.viewer 角色只允许查看函数配置，无法调用。 roles/cloudfunctions.admin 角色提供了对函数的完全管理权限，包括部署、删除等，这超出了最终用户仅调用函数的需求，且不符合最小权限原则。 roles/cloudfunctions.developer 角色也提供了广泛的开发和部署权限，同样不适合仅需调用函数的最终用户。 使用 gcloud 从本地机器部署虽然可行，但不如从源代码库部署那样符合生产环境的最佳实践，尤其是在团队协作和自动化方面。