Ein Plattformteam muss einem externen Mitarbeiter die Möglichkeit geben, VPC-Netzwerke, Subnetze, Cloud Router und Cloud NATs zu erstellen und zu ändern, aber IAM oder die Abrechnung nicht zu ändern. Welche vordefinierte IAM-Rolle sollten sie auf Projektebene zuweisen, um dem Prinzip der geringsten Rechte zu folgen?

Die Rolle "Compute Network Admin" (roles/compute.networkAdmin) ist die am besten geeignete Wahl, da sie die Berechtigungen zum Erstellen und Ändern von VPC-Netzwerken, Subnetzen, Cloud Routern und Cloud NATs auf Projektebene gewährt, ohne unnötige Berechtigungen für IAM oder die Abrechnung zu vergeben. Dies entspricht dem Prinzip der geringsten Rechte. "Organization Admin" (roles/resourcemanager.organizationAdmin) ist zu weitreichend, da sie administrative Kontrolle über die gesamte Organisation und nicht nur über Netzwerke bietet. "Compute Admin" (roles/compute.admin) gewährt umfassende Berechtigungen für alle Compute Engine-Ressourcen, einschließlich Instanzen, und geht über die Netzwerkanforderungen hinaus. "Project Editor" (roles/editor) ist ebenfalls zu breit gefasst, da sie Bearbeitungszugriff auf die meisten Ressourcen innerhalb eines Projekts ermöglicht, einschließlich der Abrechnung und anderer Dienste, die der externe Mitarbeiter nicht ändern soll.