Eine Automatisierung verwendet ein Dienstkonto und muss Objekte aus einem Cloud Storage-Bucket abrufen. Ihre Organisation erzwingt das Prinzip der geringsten Rechte. Was sollten Sie tun?

Die korrekte Antwort ist, dem Dienstkonto schreibgeschützten Zugriff auf den Cloud Storage-Bucket zu gewähren. Dies folgt dem Prinzip der geringsten Rechte, da die Automatisierung nur Objekte abrufen muss, was Leseberechtigungen erfordert. Schreibgeschützter Zugriff (z.B. die Rolle roles/storage.objectViewer) ist hier ausreichend und verhindert unnötige Berechtigungen. Die Option "compute.instanceAdmin Ihrem Benutzerkonto gewähren" ist falsch, da dies Berechtigungen für Compute Engine-Instanzen betrifft und nicht direkt den Zugriff eines Dienstkontos auf Cloud Storage regelt. Außerdem würde dies Ihrem Benutzerkonto unnötige Rechte geben. Die Option "iam.serviceAccountUser Ihrem Benutzerkonto gewähren" ist falsch, da diese Rolle es Ihrem Benutzerkonto ermöglichen würde, Dienstkonten zu imitieren, aber nicht direkt dem Dienstkonto die benötigten Berechtigungen für Cloud Storage gibt. Die Option "Dem Dienstkonto die Rolle cloud-platform für den Cloud Storage-Bucket gewähren" ist falsch, da roles/owner oder roles/editor (die in roles/cloudplatform.viewer enthalten sein könnten) viel zu weitreichende Berechtigungen für den Cloud Storage-Bucket gewähren würden, einschließlich Schreib- und Löschzugriff, was gegen das Prinzip der geringsten Rechte verstößt.