A equipe de rede deve gerenciar todos os recursos de rede; a equipe de desenvolvimento precisa de Compute Admin para instâncias com dados sensíveis, mas não deve gerenciar recursos de rede ou acessar os dados dessas instâncias. Qual arranjo de projeto e VPC você usaria?

A Shared VPC é a solução ideal. Ela permite que a equipe de rede gerencie centralmente todos os recursos de rede (sub-redes, firewalls) no projeto host, onde eles terão o papel de Network Admin. A equipe de desenvolvimento pode ter o papel de Compute Admin em um projeto de serviço separado, criando instâncias que utilizam a rede compartilhada do projeto host. Isso garante que a equipe de desenvolvimento não gerencie recursos de rede nem acesse dados sensíveis, pois o acesso aos dados é controlado por outros mecanismos de IAM e não pelo Compute Admin. As outras opções são menos eficientes ou não atendem aos requisitos de segregação de responsabilidades: Usar VPCs autônomas em projetos separados com Cloud VPN ou VPC Peering adiciona complexidade desnecessária e não centraliza o gerenciamento de rede. Atribuir Network Admin e Compute Admin no mesmo projeto não segrega as responsabilidades de forma eficaz, permitindo que a equipe de desenvolvimento potencialmente gerencie a rede.