Un equipo de plataforma necesita otorgar a un contratista la capacidad de crear y modificar redes VPC, subredes, Cloud Routers y Cloud NATs, pero no cambiar IAM ni la facturación. ¿Qué rol predefinido de IAM deberían otorgar a nivel de proyecto para seguir el principio de privilegio mínimo?

El rol Compute Network Admin (roles/compute.networkAdmin) es el más adecuado porque otorga permisos para administrar todos los recursos de red, incluyendo VPC, subredes, Cloud Routers y Cloud NATs, sin conceder acceso a la administración de IAM o la facturación. Esto se alinea con el principio de privilegio mínimo. Organization Admin (roles/resourcemanager.organizationAdmin) es demasiado permisivo, ya que otorga control total sobre todos los recursos de la organización. Compute Admin (roles/compute.admin) otorga permisos para administrar instancias de Compute Engine y sus recursos asociados, pero no es específico para la gestión de redes. Project Editor (roles/editor) también es demasiado amplio, ya que permite modificar la mayoría de los recursos del proyecto, incluyendo algunos que el contratista no necesita.