Los desarrolladores utilizan muchas claves de cuentas de servicio. Requisito: todas las cuentas de servicio que necesitan claves se crean en el proyecto pj-sa, y las claves deben ser válidas por 1 día. Minimice el costo y siga las recomendaciones de Google. ¿Qué debe hacer?

La opción correcta utiliza políticas de la organización, que son la forma recomendada por Google para aplicar restricciones a nivel de organización, minimizando costos y esfuerzos de gestión. Establecer la vida útil máxima de las claves a 24 horas (constraints/iam.serviceAccountKeyMaxLifetime) asegura que las claves expiren automáticamente, cumpliendo el requisito de validez diaria. Denegar la creación de claves de cuentas de servicio excepto en pj-sa (constraints/iam.disableServiceAccountKeyCreation) centraliza la gestión y cumple el requisito de que todas las cuentas de servicio con claves se creen en ese proyecto. Las opciones incorrectas proponen soluciones que no son las más eficientes o seguras. Rotar claves manualmente o con Cloud Run/Kubernetes CronJob es más complejo y costoso que usar políticas de organización para la caducidad automática. Deshabilitar la asociación de cuentas de servicio a recursos no aborda la gestión de claves ni la ubicación de creación.