VMインスタンスにログインせずに、スクリプトを実行してソフトウェアをインストールしたり設定変更を行ったりするための機能はどれか。

Workforce Identity Federationを使用して、サードパーティのIdP（Oktaなど）のユーザーをGoogle Cloudにログインさせる際、IdP側のグループ情報（クレーム）をGoogle CloudのIAMポリシーで使用するにはどう設定するか。