Dal tuo laptop devi distribuire risorse con Terraform utilizzando un account di servizio; la tua Cloud Identity ha iam.serviceAccountTokenCreator. Seguendo le best practice di Google, come dovresti configurare il tuo ambiente locale per agire come quell'account di servizio?

L'opzione corretta descrive l'impersonificazione dell'account di servizio, una best practice di Google per l'autenticazione. Impostando gcloud config set auth/impersonateserviceaccount, indichi a gcloud di agire come quell'account di servizio. Successivamente, Terraform (e altre librerie client) possono utilizzare le credenziali generate da gcloud tramite la variabile d'ambiente GOOGLEOAUTHACCESSTOKEN per autenticarsi come l'account di servizio impersonato. Questo metodo evita l'uso di chiavi di account di servizio a lungo termine, che rappresentano un rischio per la sicurezza. L'opzione che prevede il download di una chiave JSON è scoraggiata a causa dei rischi di sicurezza associati alla gestione di chiavi a lungo termine. L'opzione gcloud auth application-default login autentica con le credenziali dell'utente, non con un account di servizio. L'integrazione con Hashicorp Vault è una soluzione valida per la gestione delle chiavi, ma non è il metodo più diretto o "best practice" per l'impersonificazione di un account di servizio direttamente dal laptop, specialmente quando iam.serviceAccountTokenCreator è già disponibile.