일련의 Compute Engine 인스턴스가 모범 사례에 따라 특정 Cloud Storage 버킷에 객체를 쓸 수 있도록 권한을 구성해야 합니다. 어떻게 해야 할까요?

정답은 서비스 계정을 생성하고 해당 버킷에 대한 IAM 역할 storage.objectCreator를 부여하는 것입니다. 이 방법은 최소 권한의 원칙을 따릅니다. storage.objectCreator 역할은 객체를 생성하고 나열하는 데 필요한 권한만 부여하므로, Compute Engine 인스턴스가 Cloud Storage 버킷에 객체를 쓰는 데 충분하며 불필요한 권한은 부여하지 않습니다. Cloud Storage 쓰기 전용 OAuth 액세스 범위가 있는 서비스 계정을 생성하는 것은 이전 방식이며, IAM 역할 기반 권한 부여가 더 세분화되고 권장되는 방법입니다. 전체 Cloud Platform OAuth 액세스 범위는 너무 광범위하여 보안 위험을 초래할 수 있습니다. storage.objectAdmin 역할은 객체 생성 외에 객체 삭제 및 메타데이터 관리 권한도 포함하므로, 쓰기 전용 요구사항에는 과도한 권한입니다.