あるスタートアップの CI は GitHub Actions 上で動いており、ビルド後に Artifact Registry へのプッシュと Cloud Run へのデプロイを行うため、Google Cloud のリソースを操作する必要がある。組織ポリシー `iam.disableServiceAccountKeyCreation` が有効で、セキュリティ方針でも長期の鍵ファイルを社外のサービスに置くことは禁じられている。鍵ファイルを配らずに認証するには、どの方式を採用すべきか。