Los equipos de Desarrollo y Externo tienen IAM de visualizador en una carpeta de Visualización. Desarrollo debe leer Cloud Storage y BigQuery; Externo debe leer solo BigQuery. ¿Qué cambio aplica esto?

La opción correcta establece un perímetro de VPC Service Controls que restringe el acceso a Cloud Storage, permitiendo que solo el equipo de desarrollo (que necesita acceso a Cloud Storage) esté fuera de esta restricción a través del nivel de acceso. Esto asegura que el equipo externo, aunque tenga el rol de visualizador, no pueda acceder a Cloud Storage, cumpliendo el requisito de que solo lea BigQuery. Las otras opciones son incorrectas porque: Eliminar permisos IAM de Cloud Storage para el equipo externo es insuficiente, ya que el rol de visualizador en la carpeta de Visualización podría otorgar acceso indirecto. Las reglas de firewall de VPC controlan el tráfico de red, no el acceso a servicios específicos de Google Cloud como Cloud Storage o BigQuery a nivel de API. Un perímetro que restrinja BigQuery impediría que el equipo externo lea BigQuery, lo cual es un requisito.