DevOps benötigt die volle Kontrolle über Compute Engine-Ressourcen im Entwicklungsprojekt, darf aber keine anderen Projektressourcen erstellen oder ändern. Was sollten Sie gemäß den Google-Richtlinien tun?

Die Zuweisung der Rollen roles/viewer und roles/compute.admin ist die korrekte Lösung, da roles/compute.admin volle Kontrolle über Compute Engine-Ressourcen bietet, einschließlich der Verwaltung von Instanzen, Disks und Netzwerken. Die roles/viewer-Rolle ermöglicht das Anzeigen anderer Projektressourcen, ohne Änderungen vornehmen zu können, was den Anforderungen entspricht, keine anderen Ressourcen zu erstellen oder zu ändern. Das Erstellen einer IAM-Richtlinie mit compute.instanceAdmin. Berechtigungen ist unzureichend, da diese nur die Verwaltung von Instanzen abdeckt, nicht aber andere Compute Engine-Ressourcen wie Disks oder Netzwerke. Eine benutzerdefinierte Rolle auf Ordnerebene würde die Berechtigungen auf alle Projekte im Ordner anwenden, was zu weit gefasst ist, da die Anforderung sich auf ein spezifisches Entwicklungsprojekt bezieht. Die grundlegende Rolle roles/editor würde zu viele Berechtigungen gewähren, da sie das Erstellen und Ändern aller Ressourcentypen im Projekt erlaubt, was der Anforderung widerspricht, keine anderen Projektressourcen zu erstellen oder zu ändern.