Security Admin + Service Account Token Creator

Security Admin concede setIamPolicy — pode alterar a allow policy de qualquer recurso do escopo, inclusive a de uma service account. Service Account Token Creator gera tokens de acesso e OpenID em nome da service account. O caminho fecha em duas chamadas: conceder a si mesmo Token Creator sobre a service account mais privilegiada, e emitir o token.

Privilégio de Owner obtido por impersonation, sem que nenhuma role privilegiada tenha sido concedida ao usuário — o log registra geração de token, não escalonamento.

• Restringir Security Admin a um escopo mínimo e usar Privileged Access Manager para concessão temporária.
• Alertar sobre SetIamPolicy que adiciona serviceAccountTokenCreator ou serviceAccountUser.
• Monitorar generateAccessToken nos Data Access logs, correlacionando com o principal de origem.
• Segregar quem administra política de IAM de quem opera cargas que precisam de impersonation.

• https://cloud.google.com/iam/docs/service-account-impersonation
• https://cloud.google.com/iam/docs/audit-logging