Zowel het Development- als het Externe team hebben viewer IAM op een Visualisatie-map. Development moet Cloud Storage en BigQuery kunnen lezen; Extern moet alleen BigQuery kunnen lezen. Welke wijziging dwingt dit af?

De correcte optie is om een VPC Service Controls perimeter te maken die beide projecten en Cloud Storage als een beperkte API bevat, en gebruikers van het Development team toe te voegen aan het Access Level van de perimeter. Dit komt omdat VPC Service Controls een beveiligingsgrens creëert rondom gevoelige gegevens en services. Door Cloud Storage als beperkte API op te nemen, wordt de toegang tot Cloud Storage voor iedereen buiten het Access Level van de perimeter geblokkeerd. Aangezien het Development team toegang nodig heeft tot Cloud Storage, moeten zij aan het Access Level worden toegevoegd. Het Externe team, dat geen toegang tot Cloud Storage mag hebben, wordt dan automatisch geblokkeerd. De andere opties zijn onjuist: Het verwijderen van Cloud Storage IAM-machtigingen voor het Externe team is onvoldoende, omdat het Externe team nog steeds toegang heeft via de viewer IAM op de Visualisatie-map. VPC firewallregels zijn niet geschikt voor het beperken van toegang tot Google Cloud-services op basis van IAM-rollen. Het toevoegen van BigQuery als beperkte API en het toevoegen van het Externe team aan het Access Level zou het Externe team toegang geven tot Cloud Storage, wat niet de bedoeling is.