Sie werden eine App auf einer Windows Compute Engine VM ausführen, die über den Cloud SQL Auth Proxy eine Verbindung zu Cloud SQL herstellt. Sie haben ein benutzerdefiniertes Dienstkonto erstellt und möchten Least-Privilege-Zugriff. Was kommt als Nächstes?

Die korrekte Antwort ist, eine benutzerdefinierte IAM-Rolle mit der Berechtigung cloudsql.instances.connect zu erstellen und dem Dienstkonto zuzuweisen. Diese Berechtigung ist die Mindestanforderung für den Cloud SQL Auth Proxy, um eine Verbindung zu Cloud SQL herzustellen, und erfüllt das Prinzip der geringsten Privilegien. Der Cloud SQL Auth Proxy benötigt den Instanzverbindungsnamen, um die Verbindung herzustellen. Die Option, roles/cloudsql.client zu erteilen, ist zwar eine vordefinierte Rolle, die cloudsql.instances.connect enthält, aber sie gewährt auch zusätzliche Berechtigungen, die für diesen spezifischen Anwendungsfall nicht erforderlich sind, was dem Prinzip der geringsten Privilegien widerspricht. Die Option --unix-socket ist für Windows-VMs nicht relevant. roles/cloudsql.editor gewährt weitreichende Bearbeitungsberechtigungen für Cloud SQL-Instanzen, was weit über das hinausgeht, was für eine reine Verbindungsherstellung benötigt wird. roles/cloudsql.viewer gewährt nur Lesezugriff und ist nicht ausreichend, um eine Verbindung über den Auth Proxy herzustellen.