Il progetto A ospita un topic Pub/Sub con dati riservati a cui dovrebbero accedere solo le risorse del progetto A. Impedire al progetto B e a qualsiasi progetto futuro di accedere a tale topic. Cosa si dovrebbe fare?

La risposta corretta è configurare i Controlli del servizio VPC nell'organizzazione con un perimetro attorno al progetto A. I Controlli del servizio VPC creano un perimetro di sicurezza attorno alle risorse sensibili, come i topic Pub/Sub, impedendo l'esfiltrazione di dati e l'accesso non autorizzato da progetti esterni, inclusi quelli futuri. Questo approccio è il più robusto per isolare completamente il progetto A. Le regole firewall (opzione A) operano a livello di rete e non impediscono l'accesso logico ai servizi Pub/Sub da altri progetti Google Cloud, anche se si trovano in VPC diverse. Le condizioni IAM (opzione C) limitano l'accesso a utenti e account di servizio specifici, ma non creano un confine di sicurezza a livello di servizio che impedisca l'accesso da qualsiasi risorsa esterna, inclusi nuovi progetti o servizi non autorizzati. Configurare un perimetro attorno alla sola VPC del progetto A (opzione D) non è sufficiente, poiché il perimetro deve includere il servizio Pub/Sub stesso per proteggerlo efficacemente.