Je moet een Cloud Function maken in Project A dat schrijft naar een Cloud Storage-bucket in Project B, volgens het principe van least privilege. Wat moet je doen?

De correcte aanpak is om een specifiek serviceaccount aan te maken in Project A voor de Cloud Function. Dit serviceaccount moet vervolgens worden toegewezen aan de Cloud Function tijdens de implementatie. Ten slotte krijgt dit serviceaccount de roles/storage.objectCreator-rol op de Cloud Storage-bucket in Project B. Dit volgt het principe van least privilege omdat de functie alleen de benodigde rechten krijgt (objecten maken) en alleen op de specifieke bucket. Optie 1 is onvolledig omdat het niet specificeert hoe de Cloud Function het serviceaccount gebruikt. Optie 3 gebruikt het standaard App Engine-serviceaccount, wat minder granulair is en mogelijk meer rechten heeft dan nodig, wat in strijd is met least privilege. Optie 4 probeert een serviceaccount uit Project B te gebruiken voor een functie in Project A, wat niet de standaardwerkwijze is en complexiteit introduceert. Bovendien zou het standaard App Engine-serviceaccount van Project B mogelijk te veel rechten hebben.