Gewähren Sie einem externen Benutzer in einem Projekt Least-Privilege-Listenzugriff auf Compute-Images und -Disks. Was sollten Sie tun?

Um den Least-Privilege-Zugriff zu gewährleisten, sollten Sie eine benutzerdefinierte IAM-Rolle erstellen, die nur die erforderlichen Berechtigungen enthält. In diesem Fall sind das compute.disks.list und compute.images.list. Diese Rolle wird dann dem externen Benutzer auf Projektebene zugewiesen. Die Option, eine benutzerdefinierte Rolle basierend auf roles/compute.imageUser zu erstellen und compute.disks.list hinzuzufügen, ist nicht optimal, da roles/compute.imageUser bereits mehr Berechtigungen als nur das Auflisten von Images enthält. Die Erstellung einer benutzerdefinierten Rolle basierend auf roles/storage.admin und das Entfernen von Berechtigungen ist ineffizient und fehleranfällig, da roles/storage.admin viele nicht benötigte Berechtigungen für Compute-Ressourcen enthält. Die Zuweisung von roles/storage.admin auf Projektebene gewährt viel zu weitreichende Berechtigungen und verstößt gegen das Prinzip der geringsten Rechte.