あるプロジェクトで、特定のマイクロサービスが Cloud Storage からオブジェクトを取得し、Pub/Sub にメッセージを発行する権限だけを付与したいと考えています。最小権限の原則（Least Privilege）を満たす構成として最も適切なものはどれですか。

🎯正解の決め手・公式要点まとめ

最小権限の原則を厳密に満たすためには、マイクロサービスが実行する特定の操作に必要な権限（storage.objects.get、storage.objects.list、pubsub.topics.publish）のみを定義したカスタムロールを作成し、それを単一のサービスアカウントに付与するのが最も適切です。 事前定義ロール（roles/editor や Storage・Pub/Sub 関連ロール）には、今回の要件以外の不要な操作権限（リソースの作成・変更・削除権限など）が多く含まれるため、最小権限の原則に反します。また、サービスアカウントを不要に複数作成して切り替える設計は、認証管理やアーキテクチャの複雑化を招くため推奨されません。