Un'applicazione Compute Engine nel progetto A deve autenticarsi a un argomento Pub/Sub nel progetto B. Cosa dovresti fare?

La risposta corretta è concedere all'account di servizio della VM Compute Engine dal progetto A il ruolo Pub/Sub Publisher sull'argomento nel progetto B. Questo è il metodo più sicuro e raccomandato da Google Cloud per l'autenticazione tra progetti. Le istanze Compute Engine utilizzano il loro account di servizio predefinito (o uno specificato) per l'autenticazione. Concedendo a questo account di servizio il ruolo di Publisher sull'argomento Pub/Sub nel progetto B, si autorizza l'applicazione a pubblicare messaggi senza esporre credenziali sensibili. Le altre opzioni sono meno sicure o non pratiche: Configurare le istanze per usare un account di servizio del progetto Pub/Sub non è possibile direttamente e complicherebbe la gestione delle identità. L'uso di chiavi di account di servizio scaricabili (come nelle opzioni che menzionano le Credenziali Predefinite dell'Applicazione con una chiave) è sconsigliato per le VM in produzione a causa dei rischi di sicurezza legati alla gestione e rotazione delle chiavi.