您想要安全地自動化夜間批次作業，這些作業會從 Cloud Storage 讀取非公開的批次檔案，在 Dataproc 上執行 Spark Scala 作業，並將結果寫入 BigQuery。此工作負載應如何安全地執行？

正確答案是使用具有 Cloud Storage 檔案讀取權限和 BigQuery 寫入權限的服務帳戶來執行作業。這是因為服務帳戶是 Google Cloud 中用於自動化工作負載的推薦安全主體。透過授予服務帳戶執行此特定任務所需的最小權限（Cloud Storage 讀取和 BigQuery 寫入），您可以遵循最小權限原則，這是一種重要的安全最佳實踐。 將 Cloud Storage 儲存桶鎖定為僅限您的使用者帳戶存取是不可行的，因為自動化作業無法使用您的個人使用者帳戶憑證。將 Project Owner 角色授予服務帳戶會賦予過多的權限，違反了最小權限原則，增加了安全風險。使用 Project Viewer 使用者帳戶無法寫入 BigQuery，因為此角色僅提供讀取權限。