Uma Cloud Function precisa de acesso a outros recursos do GCP. Para aplicar o princípio do menor privilégio, qual configuração de IAM/conta de serviço você deve usar?

A opção correta adere ao princípio do menor privilégio. Criar uma nova conta de serviço com um papel IAM personalizado garante que a função tenha apenas as permissões estritamente necessárias para interagir com os recursos específicos do GCP, evitando privilégios excessivos. Conceder ao implantador a permissão "atuar como" (Service Account User) permite que ele implante a função usando essa conta de serviço, sem conceder acesso direto aos recursos subjacentes. As opções que sugerem o papel de "Editor" violam o princípio do menor privilégio, pois o Editor tem permissões amplas, que podem não ser necessárias para a função. Conceder permissão para "obter o token de acesso" (Service Account Token Creator) não é a forma padrão ou mais segura de permitir que um implantador use uma conta de serviço para uma Cloud Function; a permissão "atuar como" é a prática recomendada.