项目 A 中的 Compute Engine 应用必须向项目 B 中的 Pub/Sub 主题进行身份验证。您应该怎么做？

正确的做法是授予项目 A 中 Compute Engine VM 的服务账号对项目 B 中 Pub/Sub 主题的 Pub/Sub Publisher 角色。这是因为 Compute Engine 实例默认使用其自身的服务账号进行身份验证。通过直接授予此服务账号在项目 B 中 Pub/Sub 主题上的发布者角色，实例就能获得发布消息所需的权限，同时遵循了最小权限原则。 将 Compute Engine 实例配置为使用 Pub/Sub 项目拥有的服务账号是不可行的，因为实例只能使用其自身项目中的服务账号。使用服务账号密钥配置 Application Default Credentials 并部署到实例是不推荐的安全实践，因为它涉及管理和保护敏感密钥文件，增加了安全风险。使用项目 A 中的服务账号密钥配置 Application Default Credentials 同样存在密钥管理的安全问题，并且没有必要，因为直接授权服务账号是更安全、更简洁的方法。