Een Cloud Run-app heeft toegang nodig tot afbeeldingen in een private Cloud Storage-bucket. Je moet veilig toegang verlenen volgens de best practices van Google. Wat moet je doen?

De correcte aanpak is om preventie van openbare toegang af te dwingen voor de Cloud Storage-bucket en de Cloud Run-service te configureren met een door de gebruiker beheerd serviceaccount dat de rol 'Storage Object Viewer' heeft op die bucket. Dit garandeert dat de bucket privé blijft en dat alleen de Cloud Run-service, via zijn specifieke serviceaccount, geautoriseerde toegang heeft tot de afbeeldingen. Het gebruik van een door de gebruiker beheerd serviceaccount volgt het principe van minimale privileges en scheidt de rechten van de Cloud Run-service van andere standaard serviceaccounts. Ondertekende URL's zijn nuttig voor tijdelijke, beperkte toegang, maar zijn minder geschikt voor continue toegang vanuit een applicatie. Het standaard Compute Engine-serviceaccount heeft vaak bredere rechten dan nodig, wat een beveiligingsrisico kan vormen.