Une application tierce sur une nouvelle VM Compute Engine doit accéder à des fichiers d'installation dans Cloud Storage, tandis que les autres VM ne le doivent pas. Que devez-vous faire ?

La création d'un nouveau compte de service dédié et son association à la VM spécifique est la meilleure pratique de sécurité et de gestion des identités. Cela permet d'accorder des autorisations granulaires (principe du moindre privilège) uniquement à cette VM pour accéder à Cloud Storage, sans affecter les autres VM ou utiliser des autorisations plus larges. L'utilisation du compte de service par défaut de Compute Engine est déconseillée car il possède souvent des autorisations étendues par défaut, ce qui enfreint le principe du moindre privilège et augmente le risque de sécurité si la VM est compromise. L'ajout de métadonnées aux objets Cloud Storage ne gère pas les autorisations d'accès des VM ; les métadonnées sont des informations descriptives sur les objets, pas un mécanisme de contrôle d'accès.