Sie müssen Aufrufe von Cloud Functions auf autorisierte Dienste gemäß den Best Practices von Google beschränken. Was sollten Sie tun?

Um Aufrufe von Cloud Functions auf autorisierte Dienste zu beschränken, sollten Sie ein Dienstkonto mit der Rolle „Cloud Functions Invoker“ (roles/cloudfunctions.invoker) erstellen und dieses Dienstkonto für den Aufruf der Funktion verwenden. Diese Rolle gewährt die Berechtigung, Cloud Functions aufzurufen, ohne unnötige zusätzliche Berechtigungen zu vergeben, was dem Prinzip der geringsten Privilegien entspricht. Die Option, Identity-Aware Proxy (IAP) zu aktivieren, ist für den Schutz von Webanwendungen und VMs gedacht, nicht direkt für die Autorisierung von Dienst-zu-Dienst-Aufrufen an Cloud Functions. Ein Dienstkonto mit der Rolle „Cloud Functions Viewer“ (roles/cloudfunctions.viewer) würde nur das Anzeigen von Funktionen erlauben, aber nicht deren Aufruf. Die Erstellung einer OAuth 2.0-Client-ID ist für die Authentifizierung von Endnutzern oder Anwendungen gedacht, die im Namen von Nutzern handeln, nicht für die sichere Dienst-zu-Dienst-Kommunikation, die am besten über Dienstkonten und IAM-Rollen verwaltet wird.