web-applications projesindeki VM'lerin crm-databases-proj içindeki BigQuery veri kümesine erişmesi gerekiyor. Projeler arası hizmet hesabı erişimi için en iyi uygulamaları takip ederek ne yapmalısınız?

Doğru cevap, en az ayrıcalık ilkesini takip eder ve yalnızca gerekli izinleri verir. web-applications projesindeki VM'lerin crm-databases-proj içindeki BigQuery veri kümesine erişmesi gerektiğinden, crm-databases-proj üzerinde web-applications projesinin hizmet hesabına yalnızca bigquery.dataViewer rolünü atamak yeterlidir. Bu, VM'lerin BigQuery verilerini okumasına izin verir ancak başka hiçbir proje kaynağına erişim sağlamaz. Ayrıca, web-applications projesi içinde VM'lerin bu hizmet hesabını kullanabilmesi için uygun rollerin (örneğin, roles/iam.serviceAccountUser) verilmesi gerekir. Diğer seçenekler gereğinden fazla ayrıcalık verir: Project Owner rolü, projenin tüm kaynakları üzerinde tam kontrol sağlar ve bu senaryo için çok geniş bir izindir. Her iki projede de Project Owner rolü vermek, güvenlik risklerini artırır ve en az ayrıcalık ilkesine aykırıdır. crm-databases-proj üzerinde Project Owner rolü vermek yine gereksizdir ve web-applications üzerinde bigquery.dataViewer rolü vermek tek başına yeterli değildir; web-applications kimliklerine crm-databases-proj üzerinde BigQuery erişimi verilmelidir.