DevOpsチームは、devプロジェクトのCompute Engineリソースを完全に制御する必要がありますが、他のプロジェクトリソースを作成または変更してはなりません。Googleのガイダンスに従って、どうすべきですか？

DevOpsチームがdevプロジェクトのCompute Engineリソースを完全に制御し、他のプロジェクトリソースを変更しないようにするには、最小権限の原則に従う必要があります。roles/compute.adminは、Compute Engineリソースに対する完全な管理権限を提供します。これにroles/viewerを組み合わせることで、他のリソースを参照する権限も与えられますが、変更はできません。 他の選択肢は不適切です。 compute.instanceAdmin.権限のみでは、Compute Engineリソースに対する完全な制御はできません。例えば、ネットワーク設定やディスクの管理は含まれません。 カスタムロールをフォルダレベルで作成し、それをグループに付与すると、devプロジェクト以外のプロジェクトにも意図せず権限が適用される可能性があります。 roles/editorは、プロジェクト内のほぼすべてのリソースに対する編集権限を与えるため、最小権限の原則に反し、セキュリティリスクが高まります。