VM 會將批次的敏感交易推送到 Cloud Pub/Sub。對於在 VM 上執行的應用程式，Google 建議使用哪種驗證方法？

對於在 Google Cloud VM 上執行的應用程式，最安全且推薦的驗證方法是利用 VM 的服務帳戶。將適當的 Cloud Pub/Sub IAM 角色直接授予 VM 的服務帳戶，應用程式就能自動獲得存取 Cloud Pub/Sub 的權限，而無需管理或儲存憑證。 錯誤選項： 「確保 VM 服務帳戶無法存取 Cloud Pub/Sub，並使用 VM 存取範圍授予適當的 Cloud Pub/Sub IAM 角色」：這是一個矛盾的說法。VM 存取範圍是授予服務帳戶權限的機制，如果服務帳戶無法存取，存取範圍也無效。 「產生一個用於存取 Cloud Pub/Sub 的 OAuth2 存取權杖，將其加密，並儲存在 Cloud Storage 中供每個 VM 存取」：這種方法引入了憑證管理和安全風險，不如直接使用服務帳戶安全和方便。 「使用 Cloud Function 建立一個通往 Cloud Pub/Sub 的閘道，並授予 Cloud Function 服務帳戶適當的 Cloud Pub/Sub IAM 角色」：雖然可行，但這增加了不必要的複雜性和延遲，對於 VM 直接發布訊息而言並非最佳實踐。