Un service Cloud Run Python a besoin d'un accès en lecture/écriture à un bucket Cloud Storage dans le même projet avec le moindre privilège. Que devez-vous faire ?

La création d'un compte de service géré par l'utilisateur avec un rôle IAM personnalisé est la meilleure pratique pour le moindre privilège. Cela garantit que le service Cloud Run n'a que les autorisations spécifiques (lecture/écriture) nécessaires pour le bucket Cloud Storage, et rien de plus. Attribuer le rôle "Administrateur du stockage" accorderait des privilèges excessifs, permettant la gestion de tous les buckets du projet, ce qui va à l'encontre du principe du moindre privilège. Le rôle "Éditeur de projet" est également trop permissif, donnant des autorisations étendues sur l'ensemble du projet. Utiliser le compte de service par défaut de Cloud Run est déconseillé car il possède souvent des autorisations larges par défaut (Éditeur du projet), ce qui ne respecte pas le principe du moindre privilège pour cette tâche spécifique. De plus, il est préférable d'utiliser des comptes de service dédiés pour des applications spécifiques pour une meilleure gestion des accès.