개발자는 많은 서비스 계정 키를 사용합니다. 요구사항: 키가 필요한 모든 서비스 계정은 pj-sa 프로젝트에 생성되며, 키는 1일 동안 유효해야 합니다. 비용을 최소화하고 Google 권장사항을 따르려면 어떻게 해야 할까요?

정답은 서비스 계정 키의 최대 수명을 24시간으로 설정하는 조직 정책 제약을 적용하고, pj-sa 프로젝트를 제외하고 서비스 계정 키 생성을 거부하는 조직 정책 제약을 적용하는 것입니다. 이 방법은 Google Cloud의 조직 정책 제약을 활용하여 서비스 계정 키의 수명과 생성을 중앙에서 관리하며, pj-sa 프로젝트에만 키 생성을 허용하여 요구사항을 충족합니다. 조직 정책은 비용 효율적이며 Google의 보안 권장사항에 부합합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. Cloud Run 작업 또는 Kubernetes CronJob을 사용하여 키를 순환하는 것은 수동적인 관리 노력이 필요하며, 조직 정책만큼 중앙 집중적이고 효율적인 방법이 아닙니다. 또한, 키 생성 거부 정책에서 pj-sa를 예외로 두는 것은 맞지만, 키 순환 방식이 비효율적입니다. 서비스 계정 연결 비활성화는 서비스 계정 키 생성과는 직접적인 관련이 없으며, 필요한 서비스 계정 사용을 방해할 수 있습니다. 서비스 계정 키 수명에 대한 DENY 정책은 키 사용을 완전히 막을 수 있어 요구사항에 맞지 않습니다.