Cloud SQL Auth Proxy 経由で Cloud SQL に接続するアプリを Windows Compute Engine VM で実行します。カスタム サービス アカウントを作成し、最小権限のアクセスを希望しています。次は何をしますか？

Cloud SQL Auth Proxy を使用して Cloud SQL に接続する場合、最小権限の原則に従うためには、cloudsql.instances.connect 権限のみを含むカスタム IAM ロールを作成し、それをサービスアカウントに割り当てるのが最適です。この権限は、Cloud SQL インスタンスへの接続を許可しますが、他の管理操作は許可しません。Cloud SQL Auth Proxy は、インスタンス接続名を使用して起動する必要があります。 roles/cloudsql.client は cloudsql.instances.connect よりも広範な権限を持つため、最小権限の原則に反します。また、Windows 環境では --unix-socket オプションは使用できません。roles/cloudsql.editor はインスタンスの変更を許可するため、接続のみが目的の場合は過剰な権限です。roles/cloudsql.viewer はインスタンスの表示のみを許可し、接続は許可しません。