Eine Drittanbieter-App auf einer neuen Compute Engine-VM muss auf Installationsdateien in Cloud Storage zugreifen können, während andere VMs dies nicht dürfen. Was sollten Sie tun?

Die korrekte Lösung ist, ein neues Dienstkonto zu erstellen, es an die VM anzuhängen und diesem Dienstkonto Cloud Storage-Berechtigungen zu erteilen. Dies ist der sicherste und granulärste Ansatz, da er das Prinzip der geringsten Rechte (Principle of Least Privilege) befolgt. Die VM erhält nur die benötigten Berechtigungen und keine anderen VMs haben Zugriff. Das Verwenden des Compute Engine-Standarddienstkontos mit Cloud Storage-Berechtigungen würde allen VMs, die dieses Standardkonto verwenden, Zugriff gewähren, was nicht der Anforderung entspricht. Das Hinzufügen von Metadaten zu Cloud Storage-Objekten ist keine Methode zur Zugriffssteuerung. Metadaten dienen zur Beschreibung von Objekten, nicht zur Berechtigungsverwaltung.