Wiele aplikacji działa na różnych instancjach Compute Engine w tym samym projekcie. Musisz kontrolować, którego konta Service Account używa każda maszyna wirtualna podczas wywoływania interfejsów API Google Cloud. Co należy zrobić?

Podczas tworzenia instancji Compute Engine można przypisać do niej konkretne konto usługi (Service Account). To konto usługi będzie używane przez aplikacje działające na tej maszynie wirtualnej do uwierzytelniania się w interfejsach API Google Cloud. Jest to standardowa i zalecana metoda kontroli dostępu dla instancji. Ustawienie klucza metadanych na nazwę konta usługi nie spowoduje, że instancja będzie używać tego konta do uwierzytelniania; metadane służą do przechowywania danych konfiguracyjnych, a nie do zarządzania tożsamością. Aktualizacja instancji po jej uruchomieniu za pomocą gcloud compute instances update w celu zmiany konta usługi jest możliwa, ale wymaga ponownego uruchomienia maszyny wirtualnej, co jest mniej efektywne niż ustawienie tego podczas tworzenia. Dodanie nazwy konta usługi jako metadanych po uruchomieniu ma ten sam problem co ustawienie klucza metadanych – nie wpływa na uwierzytelnianie.