DevOps heeft volledige controle nodig over Compute Engine-resources in het dev-project, maar mag geen andere projectresources aanmaken of wijzigen. Wat moet u doen volgens de richtlijnen van Google?

De juiste aanpak is om de groep de vooraf gedefinieerde rol roles/compute.admin te verlenen, die volledige controle geeft over Compute Engine-resources, en de rol roles/viewer om de resources in het project te kunnen zien. Dit voldoet aan het principe van minimale privileges, omdat het alleen de benodigde rechten verleent en geen overbodige rechten voor het aanmaken of wijzigen van andere projectresources. Het aanmaken van een IAM-beleid met compute.instanceAdmin.-machtigingen is niet nodig, aangezien roles/compute.admin al de benodigde machtigingen omvat. Een aangepaste rol op folderniveau zou te breed zijn en in strijd met het principe van minimale privileges. De basisrol roles/editor zou te veel rechten geven, inclusief de mogelijkheid om andere projectresources aan te maken en te wijzigen, wat in strijd is met de vereisten.