El dead-letter no funciona sin permisos para el service agent de Pub/Sub
Quien reenvía al dead-letter topic es service-<número>@gcp-sa-pubsub.iam.gserviceaccount.com, y necesita publisher en el dead-letter topic y subscriber en la suscripción de origen. Sin esos roles la política está configurada pero los mensajes nunca se mueven. El módulo otorga ambos.