Musisz zabezpieczyć Cloud Function, aby autoryzowani użytkownicy końcowi mogli uwierzytelniać się za pośrednictwem Twojej aplikacji, używając Google Sign-In, jednocześnie zapobiegając nieautoryzowanemu dostępowi. Zgodnie z najlepszymi praktykami Google, jakie działania w zakresie wdrożenia i IAM należy podjąć?

Prawidłowa odpowiedź to „Wdróż z repozytorium źródłowego i przyznaj użytkownikom role/cloudfunctions.invoker”. Wdrożenie z repozytorium źródłowego (np. Cloud Source Repositories, GitHub) jest najlepszą praktyką, ponieważ zapewnia kontrolę wersji, audytowalność i automatyzację CI/CD, co jest kluczowe dla bezpiecznego i efektywnego zarządzania kodem. Rola roles/cloudfunctions.invoker jest minimalną rolą IAM, która pozwala użytkownikom lub usługom wywoływać funkcję Cloud Function. Jest to zgodne z zasadą najmniejszych uprawnień (Principle of Least Privilege), ponieważ nie daje żadnych innych uprawnień administracyjnych ani deweloperskich, a jedynie możliwość uruchomienia funkcji. Uwierzytelnianie użytkowników końcowych za pomocą Google Sign-In i autoryzacja poprzez tę rolę zapewnia, że tylko autoryzowani użytkownicy mogą wywołać funkcję. Pozostałe opcje są nieprawidłowe: roles/cloudfunctions.viewer pozwala tylko na przeglądanie funkcji, nie na jej wywoływanie. Wdrożenie z lokalnej maszyny za pomocą gcloud nie jest najlepszą praktyką dla środowisk produkcyjnych, ponieważ brakuje mu kontroli wersji i audytu. roles/cloudfunctions.admin i roles/cloudfunctions.developer nadają zbyt szerokie uprawnienia (administracyjne lub deweloperskie), co narusza zasadę najmniejszych uprawnień i zwiększa ryzyko bezpieczeństwa.