Вы будете запускать приложение на виртуальной машине Windows Compute Engine, которое подключается к Cloud SQL через Cloud SQL Auth Proxy. Вы создали пользовательский сервисный аккаунт и хотите предоставить доступ с наименьшими привилегиями. Что дальше?

Правильный ответ обеспечивает принцип наименьших привилегий. Разрешение cloudsql.instances.connect — это минимальное разрешение, необходимое для подключения к Cloud SQL через Cloud SQL Auth Proxy. Создание пользовательской роли с этим разрешением и назначение ее сервисному аккаунту гарантирует, что у сервисного аккаунта есть только необходимые права. Запуск Cloud SQL Auth Proxy с именем подключения к экземпляру — стандартный способ его использования. Неправильные варианты: roles/cloudsql.client предоставляет больше разрешений, чем необходимо, включая возможность создавать и удалять базы данных. roles/cloudsql.editor предоставляет еще более широкие права, включая управление экземплярами Cloud SQL, что является избыточным для простого подключения. roles/cloudsql.viewer предоставляет только права на просмотр и не позволяет подключаться к экземпляру Cloud SQL.