Zespoły Development i External mają uprawnienia IAM przeglądającego (viewer) dla folderu Visualization. Zespół Development powinien mieć możliwość odczytu z Cloud Storage i BigQuery; zespół External powinien mieć możliwość odczytu tylko z BigQuery. Jaka zmiana to wymusi?

Prawidłowa odpowiedź to utworzenie perymetru VPC Service Controls zawierającego oba projekty i Cloud Storage jako ograniczone API, a następnie dodanie użytkowników zespołu Development do poziomu dostępu perymetru. Pozwoli to zespołowi Development na dostęp do Cloud Storage, podczas gdy zespół External, który nie będzie w poziomie dostępu, zostanie zablokowany przed dostępem do Cloud Storage, zgodnie z wymaganiami. VPC Service Controls chronią dane, ograniczając dostęp do zasobów i usług Google Cloud. Usunięcie uprawnień IAM Cloud Storage dla zespołu External w projekcie acme-raw-data nie jest wystarczające, ponieważ uprawnienia Viewer na poziomie folderu Visualization mogą nadal dawać dostęp. Reguły zapory sieciowej VPC kontrolują ruch sieciowy, ale nie ograniczają dostępu do usług Google Cloud na poziomie API. Utworzenie perymetru z BigQuery jako ograniczonym API zablokowałoby dostęp do BigQuery dla obu zespołów, co jest niezgodne z wymaganiami.