As equipes de Desenvolvimento e Externa têm IAM de visualizador em uma pasta de Visualização. O Desenvolvimento deve ler o Cloud Storage e o BigQuery; a Externa deve ler apenas o BigQuery. Que alteração impõe isso?

A resposta correta é criar um perímetro do VPC Service Controls contendo ambos os projetos e o Cloud Storage como uma API restrita, adicionando os usuários da Equipe de Desenvolvimento ao Access Level do perímetro. Isso restringe o acesso ao Cloud Storage para todos que não estão no Access Level, garantindo que a Equipe Externa (que não está no Access Level) não possa acessá-lo, enquanto a Equipe de Desenvolvimento (que está no Access Level) pode. As permissões IAM de visualizador na pasta de Visualização não são suficientes, pois o acesso ao Cloud Storage e BigQuery ocorre em outro projeto. Remover permissões IAM do Cloud Storage para a Equipe Externa no projeto acme-raw-data não é suficiente, pois as permissões de visualizador na pasta de Visualização ainda poderiam conceder acesso indireto. Regras de firewall da VPC controlam o tráfego de rede, não o acesso a serviços específicos do Google Cloud. Restringir o BigQuery não resolveria o problema de acesso ao Cloud Storage.