L'équipe DevOps a besoin d'un contrôle total sur les ressources Compute Engine dans le projet de développement, mais ne doit pas créer ou modifier d'autres ressources de projet. Conformément aux directives de Google, que devez-vous faire ?

Pour répondre aux exigences, le rôle prédéfini roles/compute.admin est nécessaire car il fournit un contrôle total sur les ressources Compute Engine, y compris la création, la suppression et la modification d'instances. Le rôle roles/viewer est ajouté pour permettre la visualisation des autres ressources du projet sans pouvoir les modifier, ce qui correspond à la contrainte de ne pas créer ou modifier d'autres ressources. L'option de créer une politique IAM avec compute.instanceAdmin. n'est pas un rôle prédéfini et ne peut pas être appliquée directement comme une politique IAM autonome. Créer un rôle personnalisé au niveau du dossier avec compute.instanceAdmin. ne serait pas suffisant, car compute.instanceAdmin. est un ensemble de permissions et non un rôle complet, et un rôle personnalisé serait plus complexe que nécessaire ici. Accorder le rôle de base roles/editor donnerait un accès beaucoup trop large, permettant de modifier toutes les ressources du projet, ce qui est explicitement interdit.