Vous souhaitez automatiser de manière sécurisée des tâches nocturnes qui lisent des fichiers batch non publics depuis Cloud Storage, exécutent une tâche Spark Scala sur Dataproc et écrivent les résultats dans BigQuery. Comment la charge de travail doit-elle s'exécuter de manière sécurisée ?

La bonne approche consiste à utiliser un compte de service avec le principe du moindre privilège. Le compte de service n'aura que les autorisations nécessaires pour accomplir sa tâche : lecture des fichiers Cloud Storage et écriture dans BigQuery. Cela minimise le risque de sécurité en cas de compromission du compte. Les autres options sont incorrectes pour les raisons suivantes : Verrouiller le bucket Cloud Storage pour votre seul compte utilisateur n'est pas une solution d'automatisation et ne permettrait pas à Dataproc d'accéder aux données. Accorder le rôle Propriétaire du projet à un compte de service est une mauvaise pratique de sécurité car cela donne un accès excessif et non nécessaire à toutes les ressources du projet. Utiliser un compte utilisateur avec le rôle Project Viewer sur le cluster Dataproc n'est pas adapté pour une tâche automatisée et le rôle Project Viewer n'a pas les autorisations nécessaires pour lire et écrire des données.