开发团队和外部团队都在 Visualization 文件夹上拥有 viewer IAM 角色。开发团队应能读取 Cloud Storage 和 BigQuery；外部团队应只能读取 BigQuery。如何更改才能强制执行此要求？

此解决方案通过 VPC Service Controls 创建了一个安全边界，将 acme-raw-data 项目和 Cloud Storage 资源包含在受限服务中。通过将开发团队用户添加到此安全边界的访问权限级别，他们可以继续访问 Cloud Storage 和 BigQuery。外部团队用户未被添加到此访问权限级别，因此他们无法访问 Cloud Storage，但由于 BigQuery 不在受限服务中，他们仍然可以访问 BigQuery，从而满足了外部团队只能读取 BigQuery 的要求。 选项A不正确，因为它会阻止外部团队访问BigQuery，这与要求不符。选项B不正确，因为VPC防火墙规则控制网络流量，而不是对特定云服务的访问权限。选项C不正确，因为它将BigQuery作为受限API，这将阻止外部团队访问BigQuery，这与要求不符。