Ontwikkelaars gebruiken veel serviceaccount-sleutels. Vereiste: alle serviceaccounts die sleutels nodig hebben, worden aangemaakt in project pj-sa, en sleutels moeten 1 dag geldig zijn. Minimaliseer kosten en volg de aanbevelingen van Google. Wat moet u doen?

Deze optie is correct omdat organisatiebeleidsbeperkingen de aanbevolen methode zijn om beveiligingscontroles op organisatieniveau af te dwingen in Google Cloud. De beperking constraints/iam.restrictServiceAccountKeyCreation kan worden gebruikt om het aanmaken van serviceaccount-sleutels te weigeren, met een uitzondering voor project pj-sa. De beperking constraints/iam.serviceAccountKeyMaxLifetime kan worden ingesteld op 24 uur om de levensduur van alle serviceaccount-sleutels te beperken, wat voldoet aan de vereiste van 1 dag. Dit minimaliseert de kosten omdat er geen aangepaste code of infrastructuur nodig is voor rotatie. De andere opties zijn minder optimaal. Het implementeren van Cloud Run-taken of Kubernetes CronJobs voor sleutelrotatie introduceert operationele overhead en kosten, en is niet de voorkeursmethode voor het afdwingen van beleid. Het uitschakelen van het koppelen van serviceaccounts is niet relevant voor het beheren van sleutels en hun levensduur.