容器映像檔儲存在某個專案的 Container Registry 中。您將在另一個專案中建立 GKE 叢集，並且需要叢集節點拉取這些映像檔。您應該怎麼做？

GKE 叢集節點使用其服務帳戶來執行操作，包括從 Container Registry 拉取映像檔。若要讓不同專案的 GKE 叢集節點拉取映像檔，您需要將儲存映像檔的專案中的 Storage Object Viewer IAM 角色授予 GKE 叢集節點使用的服務帳戶。此角色提供從 Container Registry 讀取映像檔所需的權限。 選擇「允許完整存取所有 Cloud API」會授予過多的權限，不符合最小權限原則。使用 P12 金鑰並將其作為 imagePullSecrets 雖然可行，但管理複雜且安全性較差，不建議用於 GKE 節點服務帳戶。設定 Cloud Storage ACL 僅適用於 Cloud Storage 儲存桶，而不是 Container Registry，且預設 Compute Engine 服務帳戶可能不是 GKE 叢集使用的服務帳戶。