Dataproc Administrator + Storage Admin

Dataproc Administrator cria clusters e submete jobs que executam com a service account do cluster — normalmente a service account padrão do Compute Engine, que costuma ter permissão ampla no projeto. Storage Admin controla os buckets. A combinação dá execução de código arbitrário com o privilégio da service account do cluster e controle sobre a origem e o destino do dado processado.

Leitura e cópia de dado em escala com o privilégio de uma service account, sob a aparência de um job analítico legítimo.

• Usar service account dedicada e mínima para os clusters, nunca a padrão do Compute Engine.
• Segregar a operação de clusters de processamento da administração de storage.
• Aplicar VPC Service Controls para conter a saída de dado do perímetro analítico.
• Alertar sobre criação de cluster com service account de alto privilégio.

• https://cloud.google.com/dataproc/docs/concepts/configuring-clusters/service-accounts
• https://cloud.google.com/compute/docs/access/service-accounts