Musisz utworzyć Cloud Function w Projekcie A, która zapisuje dane do zasobnika Cloud Storage w Projekcie B, zgodnie z zasadą najmniejszych uprawnień. Co należy zrobić?

Aby Cloud Function w Projekcie A mogła zapisywać dane do zasobnika w Projekcie B, potrzebuje odpowiednich uprawnień. Najlepszym rozwiązaniem jest utworzenie dedykowanego konta usługi w Projekcie A, ponieważ funkcja jest tam uruchamiana. Następnie, podczas wdrażania funkcji, należy przypisać jej to nowo utworzone konto usługi. Ostatnim krokiem jest nadanie temu kontu usługi roli roles/storage.objectCreator (lub bardziej szczegółowej, jeśli to możliwe) tylko dla docelowego zasobnika w Projekcie B. To zapewnia zasadę najmniejszych uprawnień, ponieważ konto usługi ma dostęp tylko do niezbędnego zasobu. Pozostałe opcje są nieprawidłowe, ponieważ: Nieokreślenie konta usługi podczas wdrażania funkcji spowoduje użycie domyślnego konta, które może mieć zbyt szerokie uprawnienia lub brak dostępu. Użycie domyślnego konta usługi App Engine z Projektu A jest możliwe, ale dedykowane konto usługi jest lepszą praktyką dla zasady najmniejszych uprawnień. Użycie konta usługi z Projektu B do uruchomienia funkcji w Projekcie A jest niemożliwe i nieprawidłowe.