O Projeto A hospeda um tópico do Pub/Sub com dados confidenciais que somente os recursos do Projeto A devem acessar. Evite que o Projeto B e quaisquer projetos futuros acessem esse tópico. O que você faz?

A opção correta é configurar o VPC Service Controls na organização com um perímetro em torno do Projeto A. O VPC Service Controls cria perímetros de segurança que isolam recursos e dados confidenciais, impedindo a exfiltração de dados e o acesso não autorizado de projetos fora do perímetro. Ao colocar o Projeto A dentro de um perímetro, você garante que apenas os recursos e identidades dentro desse perímetro possam acessar o tópico do Pub/Sub, bloqueando automaticamente o Projeto B e quaisquer projetos futuros que não estejam no perímetro. As regras de firewall (primeira opção) controlam o tráfego de rede, mas não impedem que um recurso de outro projeto, mesmo que na mesma VPC compartilhada, acesse o Pub/Sub se tiver as permissões IAM corretas. As condições do IAM (terceira opção) podem restringir o acesso a usuários e contas de serviço específicos, mas não impedem que um projeto inteiro acesse o tópico se uma conta de serviço dentro desse projeto tiver as permissões. Configurar o VPC Service Controls em torno da VPC do Projeto A (quarta opção) não é a granularidade correta; o perímetro deve ser configurado em torno do projeto para proteger seus recursos.