Una Cloud Function necesita acceder a otros recursos de GCP. Para aplicar el principio de privilegio mínimo, ¿qué configuración de IAM/cuenta de servicio debería utilizar?

La opción correcta aplica el principio de privilegio mínimo de dos maneras: primero, al crear un rol de IAM personalizado, se otorgan solo los permisos específicos necesarios para que la Cloud Function acceda a los recursos, evitando privilegios excesivos como los de un rol de "Editor". Segundo, al otorgar al implementador permiso para "actuar como" (service account user) la nueva cuenta de servicio, se le permite desplegar la función utilizando esa identidad sin darle acceso directo a las credenciales de la cuenta de servicio, lo cual es una práctica de seguridad recomendada. Las opciones que usan el rol de "Editor" violan el principio de privilegio mínimo. Otorgar permiso para "obtener el token de acceso" es menos seguro que "actuar como", ya que podría exponer credenciales.