GCP Terraform Misconfiguration: Compute Engine Default Service Account

Terraform 組態會建立一個具有預設服務帳戶的 Compute Engine 執行個體。

如果建立的 Compute Engine 執行個體沒有使用者管理的服務帳戶規格，Google Cloud 會將預設服務帳戶指派給該執行個體。預設服務帳戶的存取權往往超出執行個體運作所需的權限，這會違反最小特權原則。

範例 1：以下範例顯示一個會建立 Compute Engine 執行個體的 Terraform 組態，但這個執行個體沒有使用者管理的服務帳戶規格。service_account 區塊遺失。

resource "google_compute_instance" "instance-demo" {
    name = "name-demo"
    machine_type = "e2-micro"
    boot_disk {
    ...
    }
    network_interface {
    ...
    }
}