App Engine フレキシブル環境で、Artifact Registry に格納されたカスタムコンテナイメージをデプロイして実行する運用を想定します。App Engine が Artifact Registry からイメージを安全にプルできるようにするための最小限の権限設定として、適切なものはどれですか。

🎯正解の決め手・公式要点まとめ

App Engine フレキシブル環境が Artifact Registry からコンテナイメージをプルしてデプロイ・実行するには、App Engine のデフォルトサービスアカウント（または指定されたユーザー管理サービスアカウント）に Artifact Registry の読み取り権限が必要です。最小権限の原則に基づき、Artifact Registry 読み取りロール（roles/artifactregistry.reader）を付与するのが適切です。 管理者ロール（roles/artifactregistry.admin）はイメージの削除やリポジトリ設定変更など過度な権限を持ちます。Cloud Run 管理者ロールは別サービス用のロールであり無関係です。Storage オブジェクト閲覧者ロールは旧来の Container Registry では有効でしたが、Artifact Registry では適用されません。