CI/CD 流水线在 Compute Engine 上运行并管理基础设施即代码。您如何在遵循安全最佳实践的同时，授予流水线适当的权限？

正确答案是创建多个服务账号，每个流水线一个，每个账号都具有最小权限的 IAM 权限，并将服务账号密钥文件存储在 Secret Manager 中，让流水线在执行期间检索相应的密钥。这种方法遵循最小权限原则，为每个流水线提供其特定任务所需的精确权限，从而限制了潜在的安全漏洞。将密钥存储在 Secret Manager 中可确保凭据的安全管理和轮换。 将单个服务账号附加到计算实例并赋予其所有必需权限，违反了最小权限原则。允许服务账号模拟具有提升权限的 Cloud Identity 用户会引入不必要的复杂性和潜在的安全风险。在基础设施预置前添加人工审批步骤虽然增加了控制，但并未直接解决流水线权限管理和凭据安全性的问题。