Sie verwalten Dienstkonten im Projekt „proj-sa“ und benötigen ein Dienstkonto von „proj-sa“, um Snapshots von VMs in „proj-vm“ zu erstellen. Was sollten Sie tun?

Um einem Dienstkonto aus Projekt „proj-sa“ zu ermöglichen, Snapshots von VMs in Projekt „proj-vm“ zu erstellen, müssen Sie dem Dienstkonto die erforderlichen Berechtigungen im Zielprojekt „proj-vm“ erteilen. Die IAM-Rolle „Compute Storage Admin“ (roles/compute.storageAdmin) bietet die notwendigen Berechtigungen zum Erstellen, Löschen und Verwalten von Compute Engine-Festplatten-Snapshots. Das Herunterladen des privaten Schlüssels und das Hinzufügen zu Metadaten oder SSH-Schlüsseln ist unsicher und nicht der vorgesehene Weg für die projektübergreifende Dienstkonto-Authentifizierung oder Berechtigungsverwaltung. Das Festlegen des API-Bereichs beim Erstellen der VMs würde nur die Berechtigungen der VM selbst steuern, nicht die eines externen Dienstkontos, das Snapshots erstellt.