Varias aplicaciones se ejecutan en diferentes instancias de Compute Engine en el mismo proyecto. Necesitas controlar qué Service Account utiliza cada VM al llamar a las API de Google Cloud. ¿Qué deberías hacer?

La opción correcta es especificar la Service Account para cada VM al crear las instancias. Esta es la forma estándar y recomendada de asignar una cuenta de servicio a una instancia de Compute Engine. Al hacerlo, la VM obtiene las credenciales y permisos de esa cuenta de servicio para interactuar con otras API de Google Cloud de forma segura. Las otras opciones son incorrectas: Establecer la clave de metadatos de cada instancia con el nombre de la Service Account no asigna una cuenta de servicio a la VM; los metadatos son solo información. Ejecutar gcloud compute instances update para establecer una Service Account después de iniciar la instancia no es posible directamente; la cuenta de servicio principal de una VM se configura durante la creación. Añadir el nombre de la Service Account como metadato de instancia tampoco asigna la cuenta de servicio a la VM, solo almacena el nombre como un atributo.