En una VM de Compute Engine que utiliza Cloud SQL Proxy y la cuenta de servicio de la VM, ¿qué rol de IAM proporciona el privilegio mínimo al tiempo que permite que la VM se conecte a Cloud SQL?

El rol Cloud SQL Client (roles/cloudsql.client) es el privilegio mínimo necesario para que una cuenta de servicio, utilizada por Cloud SQL Proxy, se conecte a una instancia de Cloud SQL. Este rol permite la conexión y la autenticación. Los roles Project Editor y Project Owner otorgan permisos excesivos a nivel de proyecto, lo cual es una mala práctica de seguridad (principio de privilegio mínimo). El rol Cloud SQL Editor (roles/cloudsql.editor) permite modificar instancias de Cloud SQL, lo cual no es necesario solo para establecer una conexión a través del proxy; el proxy solo necesita leer la información de conexión y autenticarse.