Een Compute Engine-app in project A moet authenticeren bij een Pub/Sub-topic in project B. Wat moet u doen?

De correcte methode is om het bestaande serviceaccount van de Compute Engine VM in project A de benodigde rechten te geven op het Pub/Sub-topic in project B. Dit is de meest veilige en gangbare aanpak binnen Google Cloud. Het serviceaccount van de VM is al gekoppeld aan de instantie en kan direct worden gebruikt voor authenticatie. Door de Pub/Sub Publisher-rol toe te kennen, krijgt de VM de specifieke permissie om berichten naar het topic te publiceren zonder onnodige extra rechten. De andere opties zijn minder optimaal: Het gebruik van een serviceaccount van project B op de VM in project A is onnodig complex en kan leiden tot verwarring over eigenaarschap en rechtenbeheer. Het downloaden en implementeren van serviceaccountsleutels (Application Default Credentials met sleutels) wordt afgeraden vanwege beveiligingsrisico's. Sleutels kunnen lekken en bieden een permanente toegang tot het account. Google Cloud raadt aan om waar mogelijk beheerde serviceaccounts te gebruiken zonder sleutelbestanden.