Chaque utilisateur dispose d'un topic et d'un abonnement Pub/Sub ; assurez-vous que seul l'utilisateur peut publier et s'abonner à ses propres ressources. Comment devez-vous appliquer cela ?

La bonne approche consiste à lier l'identité de l'utilisateur aux rôles roles/pubsub.publisher et roles/pubsub.subscriber directement sur chaque ressource de topic et d'abonnement. Cela applique le principe du moindre privilège, garantissant que l'utilisateur ne peut interagir qu'avec ses propres ressources Pub/Sub spécifiques. Accorder les rôles au niveau du projet donnerait à l'utilisateur un accès à tous les topics et abonnements du projet, ce qui est trop permissif. Un rôle personnalisé avec pubsub.topics.create et pubsub.subscriptions.create permettrait de créer des ressources, mais pas de publier ou de s'abonner à des ressources existantes, et ne restreindrait pas l'accès aux propres ressources de l'utilisateur. Exécuter l'application en tant que compte de service est une bonne pratique pour les applications, mais la question concerne l'accès utilisateur et ne résout pas la granularité de l'accès par utilisateur.