Automatyzacja używa konta usługi i musi pobierać obiekty z zasobnika Cloud Storage. Twoja organizacja egzekwuje zasadę najmniejszych uprawnień. Co należy zrobić?

Poprawna odpowiedź to przyznanie kontu usługi dostępu tylko do odczytu do zasobnika Cloud Storage. Zgodnie z zasadą najmniejszych uprawnień, konto usługi powinno mieć tylko te uprawnienia, które są niezbędne do wykonania jego zadania – w tym przypadku pobierania obiektów. Rola "tylko do odczytu" (np. storage.objectViewer) jest wystarczająca i bezpieczna. Pozostałe opcje są nieprawidłowe: Przyznanie compute.instanceAdmin swojemu kontu użytkownika jest nieistotne dla konta usługi i jego dostępu do Cloud Storage. Przyznanie iam.serviceAccountUser swojemu kontu użytkownika pozwala na podszywanie się pod konto usługi, ale nie daje samemu kontu usługi dostępu do zasobnika. Przyznanie roli cloud-platform to zbyt szerokie uprawnienie, naruszające zasadę najmniejszych uprawnień, ponieważ daje dostęp do wielu usług Google Cloud, a nie tylko do Cloud Storage.