Vous allez exécuter une application sur une VM Windows Compute Engine qui se connecte à Cloud SQL via le proxy d'authentification Cloud SQL. Vous avez créé un compte de service personnalisé et souhaitez un accès avec le moindre privilège. Quelle est l'étape suivante ?

L'option correcte est de créer un rôle IAM personnalisé avec la permission cloudsql.instances.connect et de l'attribuer au compte de service, puis de démarrer le proxy avec le nom de connexion de l'instance. Cette approche respecte le principe du moindre privilège car cloudsql.instances.connect est la permission minimale requise pour que le proxy d'authentification Cloud SQL puisse se connecter à une instance Cloud SQL. L'utilisation du nom de connexion de l'instance est la méthode standard pour spécifier l'instance cible. L'option roles/cloudsql.client est un rôle prédéfini qui inclut cloudsql.instances.connect mais aussi d'autres permissions, ce qui ne respecte pas le moindre privilège si seule la connexion est nécessaire. L'option --unix-socket est principalement utilisée sur Linux et non sur Windows. roles/cloudsql.editor et roles/cloudsql.viewer accordent des privilèges trop élevés ou insuffisants (respectivement) pour la connexion via le proxy.