Debe restringir las invocaciones de Cloud Functions a servicios autorizados siguiendo las mejores prácticas de Google. ¿Qué debería hacer?

La opción correcta es crear una cuenta de servicio con el rol Cloud Functions Invoker y usarla para invocar la función. El rol Cloud Functions Invoker (roles/cloudfunctions.invoker) otorga específicamente el permiso necesario para invocar funciones HTTP, lo que permite un control de acceso granular y seguro. Habilitar Identity-Aware Proxy (IAP) no es la solución directa para restringir invocaciones de Cloud Functions a servicios autorizados, ya que IAP se enfoca en proteger aplicaciones web y SSH/TCP. Crear una cuenta de servicio con el rol Cloud Functions Viewer solo permitiría ver las funciones, no invocarlas. Crear un ID de cliente de OAuth 2.0 es más adecuado para la autenticación de usuarios finales o aplicaciones web, no para la invocación de funciones entre servicios de forma programática y segura en Google Cloud.