Le projet A héberge un sujet Pub/Sub contenant des données confidentielles auxquelles seules les ressources du projet A doivent avoir accès. Empêchez le projet B et tout projet futur d'accéder à ce sujet. Que faites-vous ?

La bonne réponse est de configurer les Contrôles de Service VPC (VPC Service Controls) dans l'organisation avec un périmètre autour du projet A. Les Contrôles de Service VPC créent des périmètres de sécurité autour des ressources Google Cloud, comme les sujets Pub/Sub, pour empêcher l'exfiltration de données et l'accès non autorisé depuis l'extérieur du périmètre. En plaçant le projet A dans un périmètre, vous garantissez que seules les ressources et les identités au sein de ce périmètre peuvent accéder aux données confidentielles, bloquant ainsi l'accès du projet B et de tout projet futur par défaut. Les règles de pare-feu (option 1) contrôlent le trafic réseau au niveau de la machine virtuelle, mais ne limitent pas l'accès aux services gérés comme Pub/Sub. Les conditions IAM (option 3) peuvent restreindre l'accès aux utilisateurs et aux comptes de service spécifiques, mais ne fournissent pas une protection périmétrique contre l'accès par d'autres projets ou services non autorisés. Configurer un périmètre autour du VPC du projet A (option 4) est incorrect car les Contrôles de Service VPC opèrent au niveau du projet ou du service, et non directement au niveau du VPC.