Une équipe de plateforme doit accorder à un contractuel la possibilité de créer et de modifier des réseaux VPC, des sous-réseaux, des Cloud Routers et des Cloud NATs, mais pas de modifier IAM ou la facturation. Quel rôle IAM prédéfini doit-elle accorder au niveau du projet pour respecter le principe du moindre privilège ?

Le rôle Compute Network Admin (roles/compute.networkAdmin) est le plus approprié car il permet de gérer les ressources réseau (VPC, sous-réseaux, Cloud Routers, Cloud NAT) sans accorder de privilèges excessifs sur IAM ou la facturation, respectant ainsi le principe du moindre privilège. Le rôle Organization Admin (roles/resourcemanager.organizationAdmin) est trop permissif, donnant un contrôle total sur l'organisation, ce qui est bien au-delà des besoins. Le rôle Compute Admin (roles/compute.admin) permet de gérer toutes les ressources Compute Engine, y compris les instances, les disques et les réseaux, mais il est plus large que nécessaire car il inclut des permissions sur les instances Compute Engine qui ne sont pas requises ici. Le rôle Project Editor (roles/editor) est également trop large, car il confère des permissions de modification sur la plupart des ressources du projet, y compris potentiellement des aspects de facturation et d'autres services non liés au réseau.