Usted administra cuentas de servicio en el proyecto proj-sa y necesita que una cuenta de servicio de proj-sa tome snapshots de las VM en proj-vm. ¿Qué debería hacer?

Para que una cuenta de servicio en proj-sa pueda tomar snapshots de VMs en proj-vm, necesita los permisos adecuados en el proyecto de destino. El rol IAM Compute Storage Admin (Administrador de almacenamiento de Compute) en proj-vm otorga los permisos necesarios para crear y gestionar snapshots de discos, lo cual es fundamental para tomar snapshots de VMs. Las otras opciones son incorrectas: Descargar la clave privada y añadirla a los metadatos personalizados o a las claves SSH de cada VM no es la forma correcta de otorgar permisos de API a una cuenta de servicio entre proyectos. Las claves privadas deben manejarse con extrema precaución y no se usan para este propósito. Establecer el ámbito de la API de la cuenta de servicio de la VM para Compute Engine en lectura/escritura solo afecta los permisos de la cuenta de servicio asociada a esa VM específica para interactuar con los servicios de Compute Engine desde esa VM. No otorga a una cuenta de servicio externa (de otro proyecto) la capacidad de tomar snapshots de esa VM.