Cloud Run 应用需要访问私有 Cloud Storage 存储桶中的镜像。您必须遵循 Google 最佳实践安全地授予访问权限。您应该怎么做？

正确答案是强制执行公共访问预防，并配置 Cloud Run 服务使用用户管理的服务账号，授予其 Storage Object Viewer 角色。公共访问预防（Public Access Prevention）确保存储桶内容不会被公开访问，这是安全最佳实践。Cloud Run 默认使用 Compute Engine 默认服务账号，但最佳实践是为每个服务创建并使用最小权限的用户管理服务账号，以实现职责分离和最小权限原则。将 Storage Object Viewer 角色授予此服务账号，使其只能读取存储桶中的镜像，而不能进行其他操作。 其他选项不正确的原因： 签名 URL 适用于临时或有限访问，不适用于 Cloud Run 服务持续访问私有存储桶的场景。 仅授予 Compute Engine 默认服务账号权限不符合最小权限原则，因为它可能拥有超出 Cloud Run 服务所需的其他权限。