Сервису Cloud Run на Python требуется доступ на чтение/запись к бакету Cloud Storage в том же проекте с наименьшими привилегиями. Что следует сделать?

Правильный ответ — создание управляемой пользователем учетной записи службы с настраиваемой ролью IAM, ограниченной необходимыми разрешениями для бакета. Это соответствует принципу наименьших привилегий, предоставляя сервису Cloud Run только те разрешения, которые ему нужны (чтение/запись в конкретный бакет Cloud Storage), и ничего более. Остальные варианты не оптимальны: Предоставление роли Storage Admin дает слишком широкие разрешения на все бакеты в проекте, нарушая принцип наименьших привилегий. Роль Project Editor также предоставляет избыточные разрешения на весь проект, выходящие за рамки требуемого доступа к Cloud Storage. Использование учетной записи службы по умолчанию для Cloud Run в production не рекомендуется, поскольку она часто имеет широкие разрешения по умолчанию, что также нарушает принцип наименьших привилегий и усложняет управление доступом.