Un servicio de Cloud Run Python necesita acceso de lectura/escritura a un bucket de Cloud Storage en el mismo proyecto con el menor privilegio posible. ¿Qué debería hacer?

La opción correcta es crear una cuenta de servicio administrada por el usuario y otorgarle un rol de IAM personalizado con los permisos requeridos del bucket. Esto garantiza el principio de privilegio mínimo, ya que el rol personalizado incluirá solo los permisos específicos de lectura/escritura necesarios para el bucket de Cloud Storage, sin otorgar accesos innecesarios. Las otras opciones son incorrectas porque: Otorgar el rol de Storage Admin (Administrador de Almacenamiento) daría permisos excesivos, permitiendo la administración completa de Cloud Storage en el proyecto, no solo el acceso a un bucket específico. Otorgar el rol de Project Editor (Editor del Proyecto) daría permisos aún más amplios a nivel de proyecto, violando gravemente el principio de privilegio mínimo. Usar la cuenta de servicio predeterminada asociada con la revisión de Cloud Run podría funcionar, pero generalmente tiene permisos más amplios (Editor) de lo necesario para una operación específica, lo que va en contra de las mejores prácticas de seguridad.