Welche IAM-Rolle bietet bei einer Compute Engine-VM, die Cloud SQL Proxy und das Dienstkonto der VM verwendet, die geringsten Berechtigungen, während die VM gleichzeitig eine Verbindung zu Cloud SQL herstellen kann?

Die Rolle "Cloud SQL Client" (roles/cloudsql.client) ist die am besten geeignete Option, da sie die geringsten Berechtigungen bietet, die für den Verbindungsaufbau zu einer Cloud SQL-Instanz über den Cloud SQL Proxy erforderlich sind. Diese Rolle erlaubt das Verbinden und Lesen von Metadaten, aber keine administrativen Änderungen an der Datenbankinstanz selbst. Die Rollen "Project Editor" und "Project Owner" gewähren weitreichende Berechtigungen für das gesamte Projekt, was ein Verstoß gegen das Prinzip der geringsten Rechte (Least Privilege) wäre. "Project Owner" ist die mächtigste Rolle und sollte nur sparsam vergeben werden. Die Rolle "Cloud SQL Editor" (roles/cloudsql.editor) bietet zusätzliche Berechtigungen zum Ändern von Cloud SQL-Instanzen, was über das reine Herstellen einer Verbindung hinausgeht und somit ebenfalls mehr Berechtigungen als nötig gewährt.