Un'applicazione di terze parti su una nuova VM Compute Engine deve accedere ai file di installazione in Cloud Storage, mentre altre VM non devono. Cosa dovresti fare?

La creazione di un nuovo account di servizio dedicato e l'associazione alla VM è la pratica di sicurezza più consigliata (principio del privilegio minimo). Questo account di servizio può quindi ricevere solo le autorizzazioni specifiche necessarie per accedere a Cloud Storage, isolando i permessi e impedendo ad altre VM di accedere ai dati. Usare l'account di servizio predefinito di Compute Engine non è l'ideale perché ha spesso permessi più ampi del necessario, violando il principio del privilegio minimo. L'aggiunta di metadati agli oggetti Cloud Storage non è un meccanismo di controllo degli accessi; i metadati sono dati descrittivi sugli oggetti, non un modo per limitare chi può accedervi.