Gli sviluppatori utilizzano molte chiavi degli account di servizio. Requisito: tutti gli account di servizio che necessitano di chiavi vengono creati nel progetto pj-sa e le chiavi devono essere valide per 1 giorno. Riduci al minimo i costi e segui le raccomandazioni di Google. Cosa dovresti fare?

L'opzione corretta utilizza i vincoli dei criteri organizzativi, che sono il metodo raccomandato da Google per applicare regole a livello di organizzazione, minimizzando i costi e la complessità operativa. Impostare la durata massima delle chiavi a 24 ore soddisfa il requisito di validità di un giorno. Negare la creazione di chiavi al di fuori di pj-sa garantisce che tutte le chiavi siano gestite centralmente, come richiesto. Le altre opzioni sono meno ideali: Implementare un job Cloud Run o un CronJob di Kubernetes per ruotare le chiavi introduce complessità operativa e costi aggiuntivi rispetto a un criterio organizzativo nativo. Disabilitare l'associazione degli account di servizio alle risorse non è direttamente correlato alla gestione della durata o alla creazione delle chiavi, e non è la soluzione appropriata per il requisito. Un vincolo DENY sulla durata non è il meccanismo corretto; si usa un vincolo che imposta la durata massima.