Una aplicación que utiliza Application Default Credentials se ejecuta en su laptop y funciona. La migra a una VM de Compute Engine y desea realizar cambios mínimos utilizando la autenticación recomendada por Google. ¿Qué debería hacer?

La opción correcta es asignar los permisos necesarios a la cuenta de servicio de Compute Engine de la VM. Application Default Credentials (ADC) busca automáticamente las credenciales en el entorno de ejecución. En Compute Engine, ADC utiliza por defecto la cuenta de servicio asociada a la VM. Al otorgar los roles IAM correctos a esta cuenta de servicio, la aplicación autenticará y autorizará sus solicitudes a los servicios de Google Cloud sin cambios en el código ni configuración manual de credenciales. Crear una nueva cuenta de servicio y configurar la aplicación para usarla (opción 2) es posible, pero requiere modificar la aplicación para especificar la nueva cuenta, lo cual va en contra del objetivo de "cambios mínimos". Almacenar credenciales en archivos de configuración (opciones 3 y 4) no es una práctica recomendada de seguridad, ya que expone las credenciales y dificulta su gestión, además de no aprovechar el mecanismo automático de ADC en Compute Engine.