Cloud Run 앱이 비공개 Cloud Storage 버킷의 이미지에 액세스해야 합니다. Google 모범 사례에 따라 안전하게 액세스 권한을 부여해야 합니다. 어떻게 해야 할까요?

Cloud Run 서비스가 비공개 Cloud Storage 버킷의 이미지에 안전하게 액세스하려면, 먼저 버킷에 '공개 액세스 방지(Public Access Prevention)'를 적용하여 의도치 않은 공개 노출을 막아야 합니다. 다음으로, Cloud Run 서비스에 사용자 관리 서비스 계정을 할당하고, 이 서비스 계정에 버킷에 대한 'Storage Object Viewer' 권한을 부여해야 합니다. 이렇게 하면 Cloud Run 서비스가 해당 서비스 계정의 권한을 사용하여 버킷의 객체를 읽을 수 있게 됩니다. 서명된 URL은 일시적인 액세스에 적합하지만 지속적인 서비스 액세스에는 관리 오버헤드가 크고, Compute Engine 기본 서비스 계정은 Cloud Run 서비스와 직접적인 관련이 없어 적절하지 않습니다.