Você deve permitir que os SREs aprovem solicitações de acesso ao suporte do Google para os casos que eles abrem, seguindo as práticas recomendadas do Google. O que você deve fazer?

A resposta correta é adicionar os SREs a um grupo e conceder a esse grupo a função roles/accessapproval.approver. Esta função permite que os membros do grupo aprovem ou dispensem solicitações de acesso ao suporte do Google, que é o requisito do problema. Conceder a função a um grupo é uma prática recomendada de segurança e gerenciamento de identidade, pois simplifica a administração de permissões e garante consistência. A função roles/iam.roleAdmin (e suas variantes individuais ou em grupo) é para gerenciar funções e permissões do IAM, não para aprovar acessos de suporte, o que a torna incorreta para este cenário.