Każdy użytkownik ma temat i subskrypcję Pub/Sub; upewnij się, że tylko użytkownik może publikować i subskrybować swoje własne zasoby. Jak należy to wymusić?

Aby zapewnić, że każdy użytkownik może publikować i subskrybować tylko swoje własne zasoby Pub/Sub, należy zastosować zasadę najmniejszych uprawnień. Powiązanie tożsamości użytkownika z rolami roles/pubsub.publisher i roles/pubsub.subscriber bezpośrednio na poziomie konkretnego tematu i subskrypcji jest najdokładniejszym sposobem kontroli dostępu. Przyznanie ról na poziomie projektu (opcja B) dałoby użytkownikowi dostęp do wszystkich tematów i subskrypcji w projekcie, co narusza wymaganie izolacji. Nadanie niestandardowej roli z uprawnieniami do tworzenia tematów i subskrypcji (opcja C) pozwalałoby użytkownikowi tworzyć zasoby, ale nie kontrolowałoby dostępu do już istniejących ani nie ograniczałoby go do własnych zasobów. Uruchamianie aplikacji jako konto usługi (opcja D) jest mechanizmem autoryzacji aplikacji, a nie użytkowników końcowych, i nie rozwiązuje problemu izolacji dostępu użytkowników do ich indywidualnych zasobów.