最小限の権限アクセスを確保し、デプロイメントの問題発生時にのみ DevOps チームに必要な権限を付与するには、次の手順に従います。
* サービス アカウントを作成します:
* Google Cloud プロジェクトで、DevOps チーム専用の新しいサービス アカウントを作成します。
* 制限付き権限の割り当て:
* サービスアカウントに必要なリスト/表示権限のみを付与します。例えば、compute.instances.list と compute.instances.get の権限を持つカスタム IAM ロールを作成できます。
* サービス アカウント ユーザー ロールを付与する:
* 作成したサービスアカウントのサービスアカウントユーザーロールをDevOpsチームメンバーに割り当てます。これにより、メンバーはサービスアカウントとして操作し、その権限を使用できるようになります。
* インシデント発生時のアクセス制御:
* デプロイメントの問題発生時、DevOps チームはサービスアカウントを一時的に使用してリソースにアクセスできます。これにより、問題の調査と解決に必要な最小限の権限でアクセスできるようになります。
* 自動化と監視:
* 必要に応じてサービス アカウント アクセスを有効または無効にする自動化を実装し、使用状況を監視して最小権限の原則に準拠していることを確認します。
利点：
* セキュリティ: 必要なものだけにアクセスを制限し、不正な変更のリスクを軽減します。
* 柔軟性: 永続的な昇格権限を付与することなく、インシデント発生時に必要なアクセスを提供します。
参考文献
* サービスアカウントの作成と管理
* サービスアカウントユーザーロール

説明/参考資料: https://cloud.google.com/kubernetes-engine/docs/security-bulletins

信頼できるコンテナ イメージのみが Cloud Run にデプロイされるようにするには、信頼できるイメージのみが使用されるようにするデプロイ時のセキュリティ制御である Binary Authorization を実装できます。
* バイナリ認証を設定する:
* Google Cloud Console に移動します。
* [セキュリティ] > [Binary Authorization] に移動します。
* 信頼できるイメージを検証する認証者を含めるようにポリシーを構成します。
* Cloud Run で Binary Authorization を有効にする:
* Cloud Run サービスに移動します。
* 適切な Binary Authorization ポリシーを選択して、既存の Cloud Run サービスで Binary Authorization を有効にします。
* 組織ポリシーを設定する:
* Google Cloud Console の [組織ポリシー] ページに移動します。
* constraints/run.allowedBinaryAuthorizationPolicies に制約を追加します。
* 組織全体に適用する許可された Binary Authorization ポリシー名のリストを指定します。
これらの手順により、Cloud Run にデプロイされたすべてのコンテナ イメージが指定された Binary Authorization ポリシーに対して検証され、信頼されていないイメージがデプロイされるのを防ぐことができます。
参考文献:
* バイナリ認証ドキュメント
* Cloud Run で Binary Authorization を有効にする

説明
https://cloud.google.com/load-balancing/docs/load-balancing-overview#外部と内部のロードバランシング

資格情報はメタデータ サーバーから取得されます。