VM に付けるサービスアカウントのアクセススコープ（その VM から呼べる API の範囲）。cloud-platform は全 API を許可する。権限は IAM ロールで絞るのが推奨。
service_account {
email = google_service_account.vm.email
scopes = ["cloud-platform"]
}
スコープと IAM の両方で許可された操作だけが通る。スコープで細かく絞ると二重管理になるので、スコープは全開にして IAM 側で管理する。