Een automatisering gebruikt een serviceaccount en moet objecten ophalen uit een Cloud Storage-bucket. Je organisatie handhaaft het principe van least privilege. Wat moet je doen?

De juiste aanpak is om het serviceaccount alleen-lezen toegang te verlenen tot de specifieke Cloud Storage-bucket. Dit volgt het principe van least privilege, waarbij het serviceaccount alleen de minimale rechten krijgt die nodig zijn om zijn taak uit te voeren (objecten ophalen). 'Verleen compute.instanceAdmin aan je gebruikersaccount' is incorrect omdat dit een rol is voor Compute Engine en niet relevant voor Cloud Storage-toegang, en het verleent rechten aan het gebruikersaccount, niet aan het serviceaccount dat de automatisering gebruikt. 'Verleen iam.serviceAccountUser aan je gebruikersaccount' is incorrect omdat dit een gebruiker de mogelijkheid geeft om een serviceaccount te impersoneren, wat niet nodig is voor het serviceaccount zelf om toegang te krijgen tot de bucket. 'Verleen het serviceaccount de cloud-platform rol voor de Cloud Storage-bucket' is incorrect omdat de 'Cloud Platform'-rol (projecteigenaar) veel te breed is en in strijd is met het principe van least privilege; het geeft veel meer rechten dan alleen lezen.