Cloud Run Python サービスが、同じプロジェクト内の Cloud Storage バケットへの読み取り/書き込みアクセスを最小権限で必要としています。どうすればよいですか？

Cloud RunサービスがCloud Storageバケットに最小権限でアクセスするには、ユーザー管理のサービスアカウントを作成し、そのサービスアカウントにバケットへの読み書きに必要な権限のみを含むカスタムIAMロールを付与するのがベストプラクティスです。これにより、サービスが必要とするアクセス権のみが付与され、セキュリティリスクが最小限に抑えられます。 「Storage Admin IAMロールを付与する」は、必要以上の広範な権限を与えてしまうため、最小権限の原則に反します。「Project Editor IAMロールを付与する」も同様に、プロジェクト全体への編集権限を与えてしまい、セキュリティ上推奨されません。「デフォルトのサービスアカウントを使用する」場合、通常は広範な権限（例えばProject Editor）が付与されていることが多く、これも最小権限の原則に反する可能性があります。