Un'applicazione Cloud Run necessita dell'accesso alle immagini in un bucket Cloud Storage privato. Devi garantire l'accesso in modo sicuro seguendo le best practice di Google. Cosa dovresti fare?

La risposta corretta è la prevenzione dell'accesso pubblico per il bucket, configurare Cloud Run con un account di servizio gestito dall'utente e concedere a tale account il ruolo Storage Object Viewer. La prevenzione dell'accesso pubblico garantisce che il bucket sia privato, bloccando l'accesso non autenticato. L'utilizzo di un account di servizio gestito dall'utente per Cloud Run è una best practice di sicurezza, poiché l'account di servizio predefinito di Compute Engine ha spesso permessi troppo ampi. Concedere il ruolo Storage Object Viewer a questo account di servizio gestito dall'utente segue il principio del privilegio minimo, fornendo solo i permessi necessari per leggere gli oggetti dal bucket. Le opzioni che suggeriscono URL firmati sono meno efficienti per l'accesso continuo da un'applicazione server-side, poiché richiederebbero la generazione e la gestione di URL firmati per ogni oggetto o sessione. L'utilizzo dell'account di servizio predefinito di Compute Engine è sconsigliato per il principio del privilegio minimo.