プリエンプティブル VM インスタンスの作成と起動 このページでは、プリエンプティブル仮想マシン（VM）インスタンスの作成方法と使用方法について説明します。プリエンプティブルインスタンスとは、通常のインスタンスよりもはるかに低価格で作成・実行できるインスタンスです。ただし、Compute Engine は、他のタスクでこれらのリソースへのアクセスが必要な場合、これらのインスタンスを終了（プリエンプト）することがあります。プリエンプティブルインスタンスは、常に 24 時間後に終了します。プリエンプティブルインスタンスの詳細については、プリエンプティブルインスタンスのドキュメントをご覧ください。プリエンプティブルインスタンスは、インスタンスのプリエンプションに耐えられるフォールトトレラントなアプリケーションにのみ推奨されます。プリエンプティブルインスタンスを作成する前に、アプリケーションがプリエンプションに対応できることを確認してください。プリエンプティブルインスタンスのリスクと価値を理解するには、プリエンプティブルインスタンスのドキュメントをご覧ください。https://cloud.google.com/compute/docs/instances/create-start-preemptible-instance

https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints このリスト制約は、Essential Contacts に追加されるメールアドレスが持つことができるドメインのセットを定義します。デフォルトでは、任意のドメインのメールアドレスを Essential Contacts に追加できます。許可/拒否リストには、@example.com 形式のドメインを 1 つ以上指定する必要があります。この制約が有効で、許可された値が設定されている場合、許可されたドメインのリストのエントリのいずれかに一致するサフィックスを持つメールアドレスのみが Essential Contacts に追加されます。この制約は、既存の連絡先の更新または削除には影響しません。constraints/essentialcontacts.allowedContactDomains

参照：
プロジェクト内の1つ以上のインスタンスでOSログインを有効にすると、それらのVMは、プロジェクトまたは組織で必要なIAMロールを持つユーザーアカウントからの接続のみを受け入れるようになります。今回のケースでは、グループcompute.osLoginに権限を付与することで、管理者以外のアカウントとしてログインできるようにしています。また、Cloud Shellを使用してSSH接続するように指示しているため、インスタンスのメタデータにSSH認証鍵を追加する必要はありません。参考：https://cloud.google.com/compute/docs/instances/managing-instance-access#configure_users 参考：https://cloud.google.com/compute/docs/instances/managing-instance-access#add_oslogin_keys

この回答は、CI/CD サーバーで使用されるサービス アカウントが特定のプロジェクトで適切なロールを持っているかどうかを検証する最も効果的な方法です。サービス アカウントに割り当てられている IAM ロールを確認することで、サービス アカウントが持つ権限とアクセスできるリソースを確認できます。また、サービス アカウントがフォルダレベルまたは組織レベルからロールを継承しているかどうかも確認できます。これらのロールはプロジェクトへのアクセスに影響を与える可能性があります。サービス アカウントの IAM ロールを確認するには、Google Cloud コンソール、gcloud コマンドライン ツール、または IAM API を使用できます。