Jeder Benutzer hat ein Pub/Sub-Thema und ein Abonnement; stellen Sie sicher, dass nur der Benutzer seine eigenen Ressourcen veröffentlichen und abonnieren kann. Wie sollten Sie dies durchsetzen?

Die korrekte Option ist, die Benutzeridentität an die Rollen roles/pubsub.publisher und roles/pubsub.subscriber für jede Themen- und Abonnementressource zu binden. Dies gewährleistet eine granulare Zugriffskontrolle, sodass jeder Benutzer nur auf seine spezifischen Pub/Sub-Ressourcen zugreifen kann. Die Erteilung der Rollen auf Projektebene würde dem Benutzer Zugriff auf alle Pub/Sub-Ressourcen im Projekt gewähren, was die Anforderung verletzt, dass nur der Benutzer auf seine eigenen Ressourcen zugreifen darf. Eine benutzerdefinierte Rolle mit pubsub.topics.create und pubsub.subscriptions.create würde dem Benutzer lediglich erlauben, Themen und Abonnements zu erstellen, aber nicht, darauf zu veröffentlichen oder sie zu abonnieren. Das Ausführen der Anwendung als Dienstkonto mit diesen Rollen würde bedeuten, dass alle Benutzer, die die Anwendung verwenden, über dasselbe Dienstkonto agieren und somit die Identität des einzelnen Benutzers nicht isoliert wird.