Cloud Run Python 服務需要以最低權限讀取/寫入同一個專案中的 Cloud Storage 儲存桶。您應該怎麼做？

正確答案是建立一個使用者管理的服務帳戶，並授予其範圍限定為儲存桶所需權限的自訂 IAM 角色。這是實現「最低權限原則」的最佳實踐，確保服務帳戶只擁有執行其任務所需的權限，從而提高安全性。授予自訂 IAM 角色可以精確控制權限，避免過度授權。 其他選項不符合最低權限原則： 授予 Storage Admin IAM 角色會賦予過多的權限，因為它允許管理所有儲存桶，而非僅限於特定儲存桶。 授予 Project Editor IAM 角色則會賦予專案層級的廣泛編輯權限，遠超出讀取/寫入特定儲存桶的需求。 在正式環境中使用與 Cloud Run 修訂版本相關聯的預設服務帳戶通常具有較廣泛的權限（例如 Project Editor），不符合最低權限原則，且難以精確控制。