Una aplicación de Compute Engine en el proyecto A debe autenticarse en un tema de Pub/Sub en el proyecto B. ¿Qué debe hacer?

La opción correcta es otorgar a la cuenta de servicio de la VM de Compute Engine del Proyecto A el rol de Publicador de Pub/Sub en el tema del Proyecto B. Esto sigue el principio de menor privilegio y es la forma recomendada de autenticación entre proyectos en Google Cloud. La VM de Compute Engine ya tiene una cuenta de servicio asociada, que puede usarse para autenticarse en otros servicios de GCP. Las otras opciones son incorrectas porque: Configurar las instancias para usar una cuenta de servicio propiedad del proyecto de Pub/Sub no es práctico ni seguro; las cuentas de servicio deben residir en el proyecto que las utiliza. Desplegar una clave de cuenta de servicio directamente en las instancias es una mala práctica de seguridad, ya que las claves pueden ser comprometidas. Usar una clave de cuenta de servicio del Proyecto A y otorgarle el rol de Publicador es menos seguro que usar la cuenta de servicio preexistente de la VM, ya que implica la gestión manual de claves.