Автоматизация использует сервисный аккаунт и должна получать объекты из бакета Cloud Storage. Ваша организация обеспечивает принцип наименьших привилегий. Что вы должны сделать?

Правильный ответ — «Предоставить сервисному аккаунту доступ только для чтения к бакету Cloud Storage». Это соответствует принципу наименьших привилегий, поскольку сервисный аккаунт получает только те разрешения, которые необходимы для выполнения его задачи (чтение объектов из бакета). Остальные варианты не подходят: «Предоставить compute.instanceAdmin вашему аккаунту пользователя» — эта роль не имеет отношения к доступу к Cloud Storage и предоставляет избыточные привилегии для управления экземплярами Compute Engine. «Предоставить iam.serviceAccountUser вашему аккаунту пользователя» — эта роль позволяет вашему аккаунту выдавать себя за сервисный аккаунт, но не предоставляет самому сервисному аккаунту доступ к Cloud Storage. «Предоставить сервисному аккаунту роль cloud-platform для бакета Cloud Storage» — роль cloud-platform предоставляет очень широкие привилегии, что нарушает принцип наименьших привилегий.