Projekt A hostuje temat Pub/Sub z poufnymi danymi, do których dostęp powinny mieć tylko zasoby w projekcie A. Zapobiegnij dostępowi projektu B i wszelkich przyszłych projektów do tego tematu. Co należy zrobić?

Prawidłowa odpowiedź to skonfigurowanie VPC Service Controls w organizacji z perymetrem wokół projektu A. VPC Service Controls tworzy bezpieczne granice wokół zasobów Google Cloud, zapobiegając nieautoryzowanemu dostępowi z zewnątrz perymetru, w tym z innych projektów, takich jak Projekt B. Dodanie reguł zapory w projekcie A jest niewystarczające, ponieważ zapory kontrolują ruch sieciowy, ale nie zapobiegają dostępowi do usług Google Cloud na poziomie API z innych projektów. Użycie warunków IAM ogranicza dostęp na podstawie tożsamości, ale nie tworzy granicy bezpieczeństwa, która uniemożliwiałaby zasobom z zewnątrz perymetru próby dostępu. Skonfigurowanie VPC Service Controls wokół VPC projektu A jest nieprawidłowe, ponieważ perymetry VPC Service Controls są definiowane na poziomie projektu lub usługi, a nie na poziomie samej sieci VPC.