O DevOps precisa de controle total dos recursos do Compute Engine no projeto dev, mas não deve criar ou modificar outros recursos do projeto. Seguindo as orientações do Google, o que você deve fazer?

A opção correta é conceder os papéis roles/viewer e roles/compute.admin. O papel roles/compute.admin fornece controle total sobre os recursos do Compute Engine, como instâncias e discos, o que atende ao requisito de controle total. O papel roles/viewer permite que os usuários visualizem todos os recursos no projeto, mas não os modifiquem, garantindo que eles não criem ou modifiquem outros recursos além do Compute Engine. A criação de uma política do IAM com compute.instanceAdmin. ou um papel personalizado no nível da pasta com essas permissões não é a melhor prática, pois roles/compute.admin já oferece o conjunto de permissões necessário de forma mais gerenciável. Conceder o papel roles/editor é muito permissivo, pois daria controle total sobre todos os recursos do projeto, não apenas os do Compute Engine, violando o princípio do menor privilégio.