Les développeurs utilisent de nombreuses clés de compte de service. Exigence : tous les comptes de service qui nécessitent des clés sont créés dans le projet pj-sa, et les clés doivent être valides pendant 1 jour. Minimisez les coûts et suivez les recommandations de Google. Que devriez-vous faire ?

La bonne réponse est d'appliquer deux contraintes de stratégie d'organisation. La première contrainte (constraints/iam.serviceAccountKeyMaxLifetime) garantit que toutes les clés de compte de service créées ont une durée de vie maximale de 24 heures, répondant ainsi à l'exigence de validité d'un jour. La seconde contrainte (constraints/iam.disableServiceAccountKeyCreation) refuse la création de clés de compte de service dans tous les projets, sauf dans 'pj-sa', ce qui centralise la gestion des clés comme demandé. Cette approche est conforme aux recommandations de Google en matière de sécurité et de minimisation des coûts, car elle utilise des fonctionnalités natives de Google Cloud sans nécessiter de ressources de calcul supplémentaires pour la rotation des clés. Les autres options sont incorrectes car : L'utilisation de Cloud Run ou Kubernetes CronJob pour la rotation des clés implique des coûts de calcul et une complexité opérationnelle supplémentaires, ce qui ne minimise pas les coûts. De plus, la rotation manuelle des clés n'est pas une pratique recommandée par Google. Désactiver l'attachement des comptes de service aux ressources n'est pas la même chose que de restreindre la création de clés de compte de service et ne répond pas à l'exigence de centralisation de la création dans 'pj-sa'.