承認されたエンドユーザーがGoogle Sign-Inを使用してアプリ経由で認証できるようにし、不正アクセスを防ぐために、Cloud Functionsを保護する必要があります。Googleのベストプラクティスに従って、どのようなデプロイとIAMアクションを実行すべきですか？

Google Sign-Inで認証されたエンドユーザーがCloud Functionsを呼び出す場合、最小権限の原則に従い、roles/cloudfunctions.invoker ロールを付与するのがベストプラクティスです。このロールは、関数の呼び出しのみを許可し、関数の管理や変更はできません。ソースリポジトリからのデプロイは、バージョン管理とCI/CDパイプラインとの統合を容易にし、コードの整合性とセキュリティを向上させるため推奨されます。 roles/cloudfunctions.viewer は関数を見ることはできますが、呼び出すことはできません。roles/cloudfunctions.admin や roles/cloudfunctions.developer は、関数の管理や開発に関する広範な権限を含んでおり、エンドユーザーに付与すべきではありません。ローカルマシンからのデプロイは、CI/CDのベストプラクティスに反し、セキュリティと再現性の点で劣ります。