多くのチームが複数のGCPプロジェクトを作成しており、各プロジェクトには特定のアクセスが必要です。中央IT部門はすべてのプロジェクトにアクセスできなければならず、Cloud Storage/BigQueryデータはアドホックに共有される必要があります。IAMポリシーを最小限に抑えるために、どの2つの手順を実行すべきですか？

リソース階層（フォルダ/組織）を導入すると、IAMポリシーを組織レベルで設定し、そのポリシーが下位のプロジェクトに継承されるため、中央IT部門がすべてのプロジェクトにアクセスできるようになります。チームごとに個別のグループを作成し、それらのグループをIAMポリシーで参照することで、個々のユーザーではなくグループに対して権限を付与できるため、IAMポリシーの管理が簡素化され、最小限に抑えられます。Cloud Deployment Managerはアクセスプロビジョニングを自動化できますが、IAMポリシーの最小化には直接貢献しません。サービスアカウントの使用はデータ共有には有効ですが、IAMポリシーの最小化とは直接関係ありません。各リソースごとにポリシーを作成する方法は、ポリシーの数が爆発的に増え、管理が複雑になるため、IAMポリシーを最小限に抑えるという要件に反します。