Een platformteam moet een externe medewerker de mogelijkheid geven om VPC-netwerken, subnets, Cloud Routers en Cloud NATs aan te maken en te wijzigen, maar mag IAM of facturering niet wijzigen. Welke vooraf gedefinieerde IAM-rol moeten ze op projectniveau toekennen om het principe van least privilege te volgen?

De rol Compute Network Admin (roles/compute.networkAdmin) is de meest geschikte keuze omdat deze de benodigde rechten verleent voor het beheren van VPC-netwerken, subnets, Cloud Routers en Cloud NATs, terwijl het principe van least privilege wordt gehandhaafd. Deze rol omvat geen rechten voor het wijzigen van IAM-beleid of facturering. De rol Organization Admin (roles/resourcemanager.organizationAdmin) is te breed, omdat deze beheerdersrechten geeft over de gehele organisatie, inclusief IAM en facturering, wat in strijd is met het principe van least privilege. De rol Compute Admin (roles/compute.admin) is ook te breed; deze geeft volledige controle over alle Compute Engine-bronnen, inclusief virtuele machines, wat verder gaat dan de vereiste netwerkbeheertaken. De rol Project Editor (roles/editor) verleent brede bewerkingsrechten voor bijna alle bronnen binnen een project, inclusief de mogelijkheid om IAM-beleid en factureringsinstellingen te beïnvloeden, wat niet gewenst is.