GCP Terraform Misconfiguration: Compute Engine Default Service Account

Uma configuração do Terraform cria uma instância do Compute Engine com uma conta de serviço padrão.

Se uma instância do Compute Engine for criada sem uma especificação de conta de serviço gerenciada pelo usuário, o Google Cloud atribuirá uma conta de serviço padrão à instância. Os direitos de acesso da conta de serviço padrão geralmente estão além do que a instância precisa para operar. Isso viola o princípio do privilégio mínimo.

Exemplo 1: O exemplo a seguir mostra uma configuração do Terraform que cria uma instância do Compute Engine sem uma especificação de conta de serviço gerenciada pelo usuário. O bloco service_account está ausente.

resource "google_compute_instance" "instance-demo" {
    name = "name-demo"
    machine_type = "e2-micro"
    boot_disk {
    ...
    }
    network_interface {
    ...
    }
}