Cloud Functions が他の GCP リソースにアクセスする必要があります。最小権限を適用するには、どのような IAM/サービスアカウント設定を使用すべきですか？

最小権限の原則に従うため、Cloud Functionsが必要とする特定の権限のみを含むカスタムIAMロールを作成し、それを新しいサービスアカウントに付与します。これにより、関数が過剰な権限を持つことを防ぎます。デプロイヤーには、この新しいサービスアカウントとして機能する（iam.serviceAccounts.actAs）権限を付与することで、関数をデプロイする際にそのサービスアカウントを割り当てることができます。編集者権限は広範すぎるため、最小権限の原則に反します。アクセストークンを取得する権限は、サービスアカウントとして機能する権限とは異なります。