Конвейер CI/CD работает на Compute Engine и управляет инфраструктурой как кодом. Как предоставить конвейеру соответствующие разрешения, следуя рекомендациям по безопасности?

Правильный ответ — создание нескольких сервисных аккаунтов с минимальными привилегиями и хранение их ключей в Secret Manager. Это соответствует принципу наименьших привилегий и обеспечивает сегментацию разрешений: каждый конвейер получает только необходимые права, а ключи безопасно хранятся и извлекаются по требованию. Присоединение одного сервисного аккаунта со всеми необходимыми разрешениями к экземплярам Compute Engine нарушает принцип наименьших привилегий, предоставляя избыточные права. Разрешение сервисному аккаунту олицетворять пользователя Cloud Identity с повышенными разрешениями также не является лучшей практикой, так как это может привести к неконтролируемому доступу. Добавление шага подтверждения человеком не решает проблему избыточных разрешений для самого конвейера и не является масштабируемым решением для автоматизированных CI/CD процессов.