Les équipes de développement et les équipes externes ont toutes deux le rôle IAM de "viewer" sur un dossier de visualisation. L'équipe de développement doit pouvoir lire Cloud Storage et BigQuery ; l'équipe externe ne doit pouvoir lire que BigQuery. Quel changement permet d'appliquer cela ?

La bonne réponse est de créer un périmètre VPC Service Controls contenant les deux projets et Cloud Storage en tant qu'API restreinte, puis d'ajouter les utilisateurs de l'équipe de développement au niveau d'accès du périmètre. Cela permet à l'équipe de développement d'accéder à Cloud Storage et BigQuery (car ils sont inclus dans le périmètre et ont un niveau d'accès), tandis que l'équipe externe, qui n'est pas dans le niveau d'accès, ne pourra pas accéder à Cloud Storage en raison de la restriction du périmètre, mais pourra toujours accéder à BigQuery. Les autres options sont incorrectes car : Supprimer les autorisations IAM de Cloud Storage pour l'équipe externe sur le projet acme-raw-data empêcherait l'équipe externe d'accéder à BigQuery si les autorisations sont héritées ou mal configurées. Créer des règles de pare-feu VPC est une solution de mise en réseau qui ne gère pas les autorisations d'accès aux services Google Cloud au niveau de l'API. Créer un périmètre VPC Service Controls avec BigQuery comme API restreinte empêcherait l'équipe externe d'accéder à BigQuery, ce qui est contraire à l'exigence.