El Proyecto A aloja un tema de Pub/Sub con datos confidenciales a los que solo deben acceder los recursos del Proyecto A. Evite que el Proyecto B y cualquier proyecto futuro accedan a ese tema. ¿Qué debe hacer?

La opción correcta es configurar Controles de Servicio de VPC (VPC Service Controls) en la organización con un perímetro alrededor del Proyecto A. VPC Service Controls crea un perímetro de seguridad que aísla los recursos y datos sensibles de un proyecto, impidiendo que proyectos externos (como el Proyecto B o futuros proyectos) accedan a ellos, incluso si tienen permisos de IAM. Esto asegura que el tema de Pub/Sub del Proyecto A sea inaccesible desde fuera del perímetro. Las reglas de firewall solo controlan el tráfico de red, no el acceso a los servicios de Google Cloud a nivel de API. Las condiciones de IAM restringen el acceso a usuarios y cuentas de servicio específicos, pero no evitan que un proyecto completo acceda a los recursos si se le otorgan los permisos adecuados en el futuro o si hay una configuración incorrecta. Un perímetro alrededor de la VPC del Proyecto A no es lo suficientemente granular; el perímetro debe rodear el proyecto en sí para proteger sus servicios y datos.