多個應用程式在同一個專案中的不同 Compute Engine 實例上執行。您需要控制每個 VM 在呼叫 Google Cloud API 時使用的 Service Account。您應該怎麼做？

在建立 Compute Engine 實例時，您可以為每個 VM 指定一個服務帳戶。這是控制 VM 呼叫 Google Cloud API 時所使用權限的標準且安全的方法。每個服務帳戶都可以擁有不同的 IAM 角色，確保每個應用程式只擁有其執行任務所需的最低權限。 將服務帳戶名稱設定為實例中繼資料鍵並不會賦予 VM 該服務帳戶的權限，它只是一個資訊標籤。啟動實例後，您無法直接使用 gcloud compute instances update 來更改 VM 的服務帳戶。服務帳戶是在實例建立時綁定的，無法在事後修改。將服務帳戶名稱新增為實例中繼資料也只是增加資訊，不影響權限。