Eine Compute Engine-Anwendung in Projekt A muss sich bei einem Pub/Sub-Thema in Projekt B authentifizieren. Was sollten Sie tun?

Die korrekte Lösung besteht darin, dem Dienstkonto der Compute Engine VM aus Projekt A die Rolle "Pub/Sub Publisher" für das Thema in Projekt B zu gewähren. Dies ist der sicherste und empfohlene Weg, da die VM ihre eigenen Anmeldeinformationen (das Dienstkonto) verwendet, um sich direkt bei Pub/Sub zu authentifizieren, ohne dass Schlüssel manuell verwaltet oder geteilt werden müssen. Die Option, die Compute Engine-Instanzen so zu konfigurieren, dass sie ein Dienstkonto verwenden, das dem Pub/Sub-Projekt gehört, ist unsicher, da dies bedeuten würde, dass die VM ein Dienstkonto aus einem anderen Projekt verwendet, was die Verantwortlichkeiten vermischen würde. Die Verwendung von Dienstkontoschlüsseln (unabhängig davon, ob sie aus Projekt A oder Projekt B stammen) ist generell zu vermeiden, da dies ein Sicherheitsrisiko darstellt. Schlüssel müssen sicher gespeichert und rotiert werden, was die Komplexität erhöht und die Sicherheit verringert. Application Default Credentials (ADC) funktionieren am besten mit den integrierten Dienstkonten der VMs.