Service Account
Google Cloud 中用于机器对机器认证的身份类型，通过密钥对签名请求，适用于自动化工作流调用受保护 API。
时间轴 (近 90 天)
直接给 Agent 分配静态服务账号仍不充分，因为服务账号往往长期有效、权限宽泛，且多个 Agent 可能共用同一账号，导致日志中无法区分具体是哪个 Agent 实例所为。
服务账号是非人类身份的机器账户，通常被授予长期有效的密钥用于服务间调用，往往权限过大、轮换困难、不绑定具体人员，一旦被Agent获取即成为无MFA、无行为基线、可长期潜伏的幽灵身份
在n8n中调用Vertex AI时，认证走Service Account路线：在n8n的预定义凭证→Google Cloud API中填入区域、服务账号邮箱和scope URL。
Service Account是Google Cloud中用于机器对机器认证的身份类型，没有密码，通过一对密钥（唯一邮箱地址和私钥）证明身份；调用Vertex AI API时通常无法使用个人账号做交互式授权，服务账号是标准方案。
传统机器身份通常以服务账户或API密钥形式存在，权限相对固定，生命周期由人工管理
委托链的可追溯性是传统服务账户（Service Account）模型所缺乏的能力
当训练任务由平台服务账号代为提交时，日志中记录的是服务身份而非真实用户，导致审计断层
引导客户为自动化项目单独创建受限服务账号是降低凭证泄露风险的最佳实践之一
最佳实践之一是引导客户为自动化项目单独创建服务账号（Service Account），只授予完成任务所必需的最小权限，而非共享主账号凭证
引导客户为自动化项目单独创建服务账号并授予最小权限，可在凭证泄露时限制攻击面
全部知识事实 (10)
直接给 Agent 分配静态服务账号仍不充分，因为服务账号往往长期有效、权限宽泛，且多个 Agent 可能共用同一账号，导致日志中无法区分具体是哪个 Agent 实例所为。
50%待验证服务账号是非人类身份的机器账户，通常被授予长期有效的密钥用于服务间调用，往往权限过大、轮换困难、不绑定具体人员，一旦被Agent获取即成为无MFA、无行为基线、可长期潜伏的幽灵身份
50%待验证在n8n中调用Vertex AI时，认证走Service Account路线：在n8n的预定义凭证→Google Cloud API中填入区域、服务账号邮箱和scope URL。
50%待验证Service Account是Google Cloud中用于机器对机器认证的身份类型，没有密码，通过一对密钥（唯一邮箱地址和私钥）证明身份；调用Vertex AI API时通常无法使用个人账号做交互式授权，服务账号是标准方案。
50%待验证传统机器身份通常以服务账户或API密钥形式存在，权限相对固定，生命周期由人工管理
50%待验证委托链的可追溯性是传统服务账户（Service Account）模型所缺乏的能力
50%待验证当训练任务由平台服务账号代为提交时，日志中记录的是服务身份而非真实用户，导致审计断层
50%待验证引导客户为自动化项目单独创建受限服务账号是降低凭证泄露风险的最佳实践之一
50%待验证最佳实践之一是引导客户为自动化项目单独创建服务账号（Service Account），只授予完成任务所必需的最小权限，而非共享主账号凭证
50%待验证引导客户为自动化项目单独创建服务账号并授予最小权限，可在凭证泄露时限制攻击面
50%