Necesita proteger una Cloud Function para que los usuarios finales autorizados puedan autenticarse a través de su aplicación usando Google Sign-In, al mismo tiempo que evita el acceso no autorizado. Siguiendo las mejores prácticas de Google, ¿qué acción de despliegue e IAM debería tomar?

La opción correcta es "Desplegar desde un repositorio de código fuente y otorgar a los usuarios roles/cloudfunctions.invoker". Desplegar desde un repositorio de código fuente es una buena práctica para la gestión de versiones y la integración continua, lo que garantiza un proceso de desarrollo más robusto y auditable. El rol roles/cloudfunctions.invoker es el mínimo privilegio necesario para que los usuarios puedan invocar la función, lo que se alinea con el principio de privilegio mínimo (PoLP) y protege la función de accesos no autorizados. Las otras opciones son incorrectas porque: Otorgar roles/cloudfunctions.viewer solo permite ver la función, no invocarla. Desplegar desde una máquina local con gcloud no es una práctica recomendada para entornos de producción, ya que carece de control de versiones y trazabilidad. Otorgar roles/cloudfunctions.admin o roles/cloudfunctions.developer concede permisos excesivos, como la capacidad de modificar o eliminar la función, lo cual no es necesario para que los usuarios finales la invoquen y representa un riesgo de seguridad.