DevOps necesita control total de los recursos de Compute Engine en el proyecto dev, pero no debe crear ni modificar recursos de otros proyectos. Siguiendo las directrices de Google, ¿qué debería hacer?

Para otorgar control total sobre los recursos de Compute Engine en el proyecto dev sin afectar otros proyectos, se deben conceder los roles adecuados a nivel de proyecto. El rol roles/compute.admin proporciona acceso completo para administrar todos los recursos de Compute Engine, incluyendo la creación, modificación y eliminación de instancias, discos y redes. El rol roles/viewer se incluye para asegurar la visibilidad de otros recursos del proyecto que podrían ser necesarios para la administración de Compute Engine. Las otras opciones son incorrectas porque: Crear una política de IAM con compute.instanceAdmin. y adjuntarla al grupo no es un rol predefinido y no garantiza el control total sobre todos los recursos de Compute Engine (solo instancias). Crear un rol personalizado a nivel de carpeta con compute.instanceAdmin. es demasiado amplio (afectaría a todos los proyectos dentro de la carpeta) y no es el rol predefinido más adecuado para el control total de Compute Engine. Conceder el rol básico roles/editor otorga permisos de edición sobre todos los servicios en el proyecto, lo cual excede el requisito de control solo sobre Compute Engine y viola el principio de privilegio mínimo.