On-premises infrastructuur moet tijdens de migratie gebruikersprofielen uploaden naar Datastore, terwijl GCE VM's de applicatie uitvoeren. Welke service-account sleutelstrategie raadt u aan?

Voor on-premises infrastructuur zijn service-accountsleutels (JSON of P12) nodig om te authenticeren met Google Cloud, omdat deze buiten GCP draait en geen toegang heeft tot de metadata-service. Voor GCE VM's is het veiliger en aanbevolen om de ingebouwde service-accountfunctionaliteit te gebruiken. De VM's kunnen automatisch authenticeren via de metadata-service, waardoor expliciete sleutelbestanden op de VM's overbodig zijn. Dit vermindert het risico op sleuteldiefstal en vereenvoudigt het sleutelbeheer. De andere opties zijn minder veilig of minder efficiënt: een gebruikersaccount voor on-premises is minder geschikt voor geautomatiseerde processen, en het provisioneren van sleutels voor VM's is onnodig en minder veilig. Een aangepaste authenticatieservice is te complex voor deze use case.