Mehrere Anwendungen laufen auf verschiedenen Compute Engine-Instanzen im selben Projekt. Sie müssen steuern, welches Service Account jede VM beim Aufruf von Google Cloud APIs verwendet. Was sollten Sie tun?

Beim Erstellen einer Compute Engine-Instanz können Sie ein spezifisches Dienstkonto (Service Account) zuweisen. Dieses Dienstkonto wird dann von der VM verwendet, um sich bei Google Cloud APIs zu authentifizieren und auf Ressourcen zuzugreifen. Dies ist der empfohlene und sicherste Weg, um den Zugriff pro VM zu steuern, da die Berechtigungen direkt an die Instanz gebunden sind. Die Option, den Metadaten-Schlüssel jeder Instanz auf den Service Account-Namen zu setzen, ist falsch, da Metadaten nicht zur Authentifizierung von Service Accounts verwendet werden. Metadaten sind für benutzerdefinierte Informationen oder Skripte gedacht. Die Optionen, gcloud compute instances update nach dem Starten der Instanzen zu verwenden, sind ebenfalls falsch. Während Sie bestimmte Aspekte einer Instanz aktualisieren können, ist das Zuweisen oder Ändern des primären Dienstkontos einer bereits laufenden Instanz nicht direkt über diesen Befehl möglich. Das Dienstkonto wird typischerweise bei der Erstellung der VM festgelegt.