新しい Compute Engine VM 上のサードパーティ製アプリが Cloud Storage 内のインストールファイルにアクセスする必要がある一方で、他の VM はアクセスしてはなりません。どうすればよいですか？

このシナリオでは、特定のVMのみがCloud Storageにアクセスする必要があり、他のVMはアクセスすべきではありません。新しいサービスアカウントを作成し、そのサービスアカウントにCloud Storageへのアクセス権限を付与し、そのサービスアカウントを対象のVMにアタッチすることで、最小権限の原則に従い、アクセスを厳密に制御できます。 Compute Engineのデフォルトのサービスアカウントを使用すると、そのアカウントに付与された権限がプロジェクト内のすべてのVMに適用されるため、アクセス制御が緩くなり、セキュリティリスクが高まります。Cloud Storageオブジェクトにメタデータを追加しても、VMからのアクセス権限を直接制御することはできません。アクセス制御はIAMポリシーによって行われます。