新的 Compute Engine 虚拟机上的第三方应用必须访问 Cloud Storage 中的安装文件，而其他虚拟机则不能。您应该怎么做？

正确答案是创建一个新的服务账号，将其附加到虚拟机，并授予该服务账号 Cloud Storage 权限。这种方法遵循最小权限原则，为特定的第三方应用提供了精确的访问控制。通过为每个应用或虚拟机创建专用的服务账号，您可以精细地管理其对 Cloud Storage 的访问权限，确保只有需要的虚拟机才能访问安装文件。 使用 Compute Engine 默认服务账号并授予其 Cloud Storage 权限（选项一）不安全，因为默认服务账号可能被其他虚拟机或服务使用，这会赋予它们不必要的访问权限。向 Cloud Storage 对象添加匹配的元数据（选项二和四）不是一种有效的授权机制。元数据用于描述对象，而不是控制访问。