DevOps는 dev 프로젝트의 Compute Engine 리소스를 완전히 제어해야 하지만, 다른 프로젝트 리소스를 생성하거나 수정해서는 안 됩니다. Google 지침에 따라 어떻게 해야 할까요?

DevOps 팀이 Compute Engine 리소스에 대한 완전한 제어권을 가지면서 다른 프로젝트 리소스를 수정하지 못하게 하려면, 가장 적절한 방법은 roles/compute.admin 역할을 부여하는 것입니다. 이 역할은 Compute Engine 리소스에 대한 모든 관리 권한을 제공합니다. roles/viewer 역할은 프로젝트의 모든 리소스를 볼 수 있는 권한을 제공하여 필요한 정보를 확인할 수 있게 합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. "모든 compute.instanceAdmin. 권한을 부여하는 IAM 정책을 생성하고 그룹에 연결합니다."는 roles/compute.admin 역할과 유사하지만, 미리 정의된 역할을 사용하는 것이 Google Cloud 권장 사항에 더 부합하며 관리 오버헤드를 줄일 수 있습니다. "모든 compute.instanceAdmin. 권한을 가진 커스텀 역할을 폴더 수준에서 생성하고 그룹에 부여합니다."는 프로젝트 수준이 아닌 폴더 수준에서 역할을 부여하므로, 특정 프로젝트에 대한 제어 요구사항을 충족하지 못할 수 있습니다. 또한, 미리 정의된 역할이 있다면 커스텀 역할을 생성할 필요가 없습니다. "그룹에 기본 역할 roles/editor를 부여합니다."는 Compute Engine 외의 다른 프로젝트 리소스에 대한 수정 권한도 부여하므로, 요구사항에 위배됩니다.