Role Administrator + Security Admin

Role Administrator define quais permissões uma custom role contém; Security Admin decide quem a recebe. A separação é o que faz uma revisão de acesso significar alguma coisa: o revisor olha o nome da role concedida e confia que o conteúdo dela foi definido por outra pessoa. Quem tem as duas pode adicionar uma permissão sensível a uma custom role de nome inocente e concedê-la sem que o nome mude.

Escalonamento que não aparece no diff da allow policy — a concessão é a mesma de sempre; o que mudou foi o que a role faz.

• Segregar a autoria de custom roles da concessão de acesso.
• Versionar as definições de custom role fora do console e alertar sobre UpdateRole.
• Preferir predefined roles; tratar cada custom role como artefato com dono e revisão.
• Revisar periodicamente o conteúdo das custom roles, não só quem as tem.

• https://cloud.google.com/iam/docs/creating-custom-roles
• https://cloud.google.com/iam/docs/roles-overview