Ein Cloud Run Python-Dienst benötigt Lese-/Schreibzugriff auf einen Cloud Storage-Bucket im selben Projekt mit dem geringsten Berechtigungsumfang (Least Privilege). Was sollten Sie tun?

Die Erstellung eines benutzerverwalteten Dienstkontos mit einer benutzerdefinierten IAM-Rolle, die nur die erforderlichen Lese-/Schreibberechtigungen für den spezifischen Cloud Storage-Bucket enthält, ist die beste Methode, um das Prinzip der geringsten Rechte (Least Privilege) zu erfüllen. Dies stellt sicher, dass der Dienst nur die minimalen Berechtigungen hat, die er benötigt, und reduziert das Sicherheitsrisiko. Die Rolle „Storage Admin“ gewährt zu weitreichende Berechtigungen für alle Buckets. „Project Editor“ gewährt noch umfassendere Berechtigungen auf Projektebene, was ein erhebliches Sicherheitsrisiko darstellt. Das Standarddienstkonto hat oft breitere Berechtigungen, als für eine spezifische Anwendung erforderlich sind, und sollte nicht verwendet werden, wenn eine präzisere Kontrolle möglich ist.