Разработчики используют много ключей сервисных аккаунтов. Требование: все сервисные аккаунты, которым нужны ключи, создаются в проекте pj-sa, и ключи должны быть действительны в течение 1 дня. Минимизируйте затраты и следуйте рекомендациям Google. Что вы должны сделать?

Правильный ответ соответствует рекомендациям Google Cloud по безопасности и минимизации затрат. Установка максимального срока действия ключей сервисных аккаунтов в 24 часа с помощью ограничения политики организации (constraints/iam.serviceAccountKeyMaxLifetime) гарантирует автоматическое истечение срока действия ключей, снижая риск компрометации. Запрет создания ключей сервисных аккаунтов вне проекта pj-sa (constraints/iam.disableServiceAccountKeyCreation) централизует управление ключами, упрощая аудит и контроль. Неправильные варианты: Использование Cloud Run или Kubernetes CronJob для ротации ключей — это ручное или скриптовое решение, которое сложнее в управлении и дороже, чем автоматическое истечение срока действия через политику организации. Отключение привязки сервисных аккаунтов к ресурсам не относится к управлению сроком действия ключей и не решает проблему централизации их создания.