Вы управляете сервисными аккаунтами в проекте proj-sa, и вам нужен сервисный аккаунт из proj-sa для создания снимков виртуальных машин в proj-vm. Что вы должны сделать?

Правильный ответ — предоставить сервисному аккаунту роль IAM Compute Storage Admin в проекте proj-vm. Для создания снимков виртуальных машин сервисному аккаунту требуются соответствующие разрешения на уровне проекта, где находятся виртуальные машины. Роль Compute Storage Admin (roles/compute.storageAdmin) предоставляет необходимые права для управления дисками и снимками. Загрузка закрытого ключа сервисного аккаунта и добавление его в метаданные или SSH-ключи виртуальных машин не является правильным подходом для предоставления разрешений на создание снимков. Эти методы используются для аутентификации внутри виртуальной машины или для SSH-доступа, но не для управления ресурсами Compute Engine на уровне проекта. Установка области действия API сервисного аккаунта виртуальной машины на чтение/запись при создании ВМ позволяет этой ВМ взаимодействовать с другими сервисами Google Cloud, но не предоставляет сервисному аккаунту из proj-sa права на создание снимков ВМ в proj-vm. Это две разные сущности и контекста разрешений.