Une automatisation utilise un compte de service et doit récupérer des objets à partir d'un bucket Cloud Storage. Votre organisation applique le principe du moindre privilège. Que devez-vous faire ?

L'automatisation utilise un compte de service, il faut donc accorder les permissions directement à ce compte de service. Le principe du moindre privilège exige de n'accorder que les permissions strictement nécessaires. Dans ce cas, l'automatisation doit "récupérer des objets", ce qui correspond à un accès en lecture seule. Accorder au compte de service un accès en lecture seule au bucket Cloud Storage (par exemple, le rôle roles/storage.objectViewer) est la solution la plus appropriée et conforme au principe du moindre privilège. Accorder compute.instanceAdmin à votre compte utilisateur est incorrect car cela concerne la gestion des instances Compute Engine et non l'accès à Cloud Storage, et cela ne s'applique pas au compte de service de l'automatisation. Accorder iam.serviceAccountUser à votre compte utilisateur permet d'utiliser un compte de service, mais n'octroie pas d'accès direct au bucket au compte de service lui-même. Accorder le rôle cloud-platform est trop permissif, car il donne un accès étendu à de nombreux services Google Cloud, violant ainsi le principe du moindre privilège.