GitHub Actions → Google Cloud sin llaves: Workload Identity Federation con gcloud y Terraform
Pool + proveedor OIDC con issuer token.actions.githubusercontent.com y attribute-condition por repository_owner; roles/iam.workloadIdentityUser al principalSet del repo; auth@v3 con workload_identity_provider y service_account. Sin secretos que rotar.