同じプロジェクト内の複数の Compute Engine インスタンスで、複数のアプリケーションが実行されています。各 VM が Google Cloud API を呼び出すときに使用するサービスアカウントを制御する必要があります。どうすればよいですか？

Compute Engine インスタンスが Google Cloud API を呼び出す際に使用するサービスアカウントは、インスタンスの作成時にのみ指定できます。これにより、各インスタンスに固有の権限セットを割り当て、最小権限の原則を適用できます。 インスタンスの作成後にサービスアカウントを変更することはできません。gcloud compute instances update コマンドには、サービスアカウントを更新するオプションがありません。インスタンスのメタデータキーとしてサービスアカウント名を設定しても、インスタンスがそのサービスアカウントを使用するようにはなりません。サービスアカウントはインスタンスの起動時にインスタンスにバインドされるため、作成時に設定する必要があります。