DevOps 需要访问生产服务。为了避免未来 Google 产品变更扩大其权限并遵循最佳实践，您应该怎么做？

正确答案是创建一个具有所需权限的自定义角色，并在生产项目上将其授予 DevOps 团队。这种方法遵循最小权限原则，即只授予完成任务所需的最低权限。自定义角色允许您精确定义 DevOps 团队所需的权限，避免了授予不必要的广泛权限。将其应用于生产项目确保了权限仅限于相关资源，而不是影响整个组织。 其他选项不理想： 在组织级别授予 Project Editor 角色（无论是预定义还是自定义）会赋予过高的权限，可能影响所有项目，违反最小权限原则。 在生产项目上授予 Project Editor 角色虽然范围缩小到生产项目，但 Project Editor 仍然是一个广泛的角色，可能包含DevOps团队不需要的权限，增加了安全风险。