Mecanismo por el que un principal obtiene credenciales de corta duración de una cuenta de servicio, sin claves, para actuar con sus permisos. Requiere el rol Service Account Token Creator sobre la cuenta; en gcloud se usa --impersonate-service-account.
En el ACE es la alternativa recomendada a descargar claves: un administrador ejecuta comandos con los permisos de una cuenta de servicio y todo queda registrado en los logs de auditoría con ambas identidades.
Suplantación de cuentas de servicio (impersonation) es uno de los conceptos que puede aparecer en el examen. Revisa la guía completa para verlo en contexto.