Do seu laptop, você deve implantar recursos com o Terraform usando uma conta de serviço; sua Cloud Identity tem iam.serviceAccountTokenCreator. Seguindo as melhores práticas do Google, como você deve configurar seu ambiente local para atuar como essa conta de serviço?

A opção correta descreve a impersonificação de conta de serviço, que é a melhor prática recomendada pelo Google para autenticação local. Ao configurar gcloud config set auth/impersonateserviceaccount, você instrui o gcloud a agir como a conta de serviço especificada. Em seguida, definir GOOGLEOAUTHACCESSTOKEN com um token de acesso de curta duração obtido via gcloud auth print-access-token permite que ferramentas como o Terraform usem esse token para autenticação, sem a necessidade de chaves de conta de serviço de longa duração. A opção de baixar e usar um arquivo de chave JSON não é a melhor prática devido a riscos de segurança associados ao armazenamento de credenciais de longa duração. A opção de gcloud auth application-default login autentica com suas credenciais de usuário, não com a conta de serviço. A opção do Hashicorp Vault é uma solução de gerenciamento de segredos, mas não é a forma direta de configurar a impersonificação de conta de serviço localmente para o Terraform.