Una aplicación de terceros en una nueva VM de Compute Engine debe acceder a los archivos de instalación en Cloud Storage, mientras que otras VM no deben hacerlo. ¿Qué debe hacer?

La opción correcta es crear una nueva cuenta de servicio, adjuntarla a la VM y otorgarle permisos específicos de Cloud Storage. Esto sigue el principio de privilegio mínimo, asegurando que solo la VM necesaria tenga acceso a los archivos de instalación. Las opciones que utilizan la cuenta de servicio predeterminada de Compute Engine no son ideales porque esta cuenta tiene amplios permisos por defecto y es compartida por otras VMs, lo que violaría el requisito de que "otras VM no deben hacerlo". Otorgar permisos a la cuenta predeterminada podría dar acceso no deseado a otras máquinas virtuales. Las opciones que mencionan agregar metadatos a los objetos de Cloud Storage son incorrectas porque los metadatos de objetos no controlan los permisos de acceso a Cloud Storage; para eso se utilizan las políticas de IAM.