GCP Terraform Misconfiguration: Compute Engine Default Service Account

Una configuración de Terraform crea una instancia de Compute Engine con una cuenta de servicio predeterminada.

Si se crea una instancia de Compute Engine sin una especificación de cuenta de servicio administrada por el usuario, Google Cloud asigna una cuenta de servicio predeterminada a la instancia. Los derechos de acceso de la cuenta de servicio predeterminada a menudo van más allá de lo que la instancia necesita para operar. Esto viola el principio de privilegio mínimo.

Ejemplo 1: El siguiente ejemplo muestra una configuración de Terraform que crea una instancia de Compute Engine sin una especificación de cuenta de servicio administrada por el usuario. Falta el bloque service_account.

resource "google_compute_instance" "instance-demo" {
    name = "name-demo"
    machine_type = "e2-micro"
    boot_disk {
    ...
    }
    network_interface {
    ...
    }
}