Das Entwicklungs- und das externe Team haben beide Viewer-IAM-Berechtigungen für einen Visualisierungsordner. Das Entwicklungsteam soll Cloud Storage und BigQuery lesen können; das externe Team soll nur BigQuery lesen können. Welche Änderung erzwingt dies?

Die korrekte Antwort ist, einen VPC Service Controls Perimeter zu erstellen, der beide Projekte und Cloud Storage als eingeschränkte API enthält, und Benutzer des Entwicklungsteams zur Zugriffsebene des Perimeters hinzuzufügen. Dies schützt Cloud Storage-Ressourcen, indem der Zugriff nur für autorisierte Identitäten innerhalb des Perimeters erlaubt wird. Da das externe Team nicht zur Zugriffsebene hinzugefügt wird, kann es nicht auf Cloud Storage zugreifen, selbst wenn es Viewer-Berechtigungen hat. Das Entwicklungsteam, das zur Zugriffsebene hinzugefügt wird, behält seinen Zugriff. Die Option, Cloud Storage IAM-Berechtigungen für das externe Team zu entfernen, ist unzureichend, da die Frage besagt, dass beide Teams Viewer-Berechtigungen für einen Visualisierungsordner haben, was möglicherweise indirekten Zugriff auf Cloud Storage über andere Dienste ermöglichen könnte. VPC-Firewall-Regeln sind für den Netzwerkverkehr zuständig, nicht für den Zugriff auf Google Cloud-Dienste auf API-Ebene. Ein Perimeter, der BigQuery als eingeschränkte API enthält, würde auch den Zugriff des Entwicklungsteams auf BigQuery einschränken, was nicht gewünscht ist.