Depuis votre ordinateur portable, vous devez déployer des ressources avec Terraform en utilisant un compte de service ; votre identité Cloud a le rôle iam.serviceAccountTokenCreator. En suivant les bonnes pratiques de Google, comment devez-vous configurer votre environnement local pour agir en tant que ce compte de service ?

La bonne pratique de Google pour l'authentification des comptes de service depuis un environnement local sans clés de compte de service est l'usurpation d'identité de compte de service. L'option correcte utilise gcloud config set auth/impersonateserviceaccount pour configurer l'usurpation d'identité, permettant à votre identité Cloud d'agir en tant que le compte de service spécifié. Le rôle iam.serviceAccountTokenCreator est essentiel car il vous autorise à créer des jetons d'accès de courte durée pour le compte de service. L'utilisation de GOOGLEOAUTHACCESSTOKEN n'est pas la méthode standard pour l'usurpation d'identité avec Terraform et gcloud. L'option incorrecte qui télécharge une clé JSON est une mauvaise pratique de sécurité car elle crée un risque de fuite de clé. L'authentification avec gcloud auth application-default login utilise vos identifiants personnels, pas le compte de service. L'intégration avec Hashicorp Vault est une solution d'entreprise pour la gestion des secrets, mais ce n'est pas la méthode directe recommandée par Google pour l'usurpation d'identité locale avec gcloud.