Команде DevOps требуется полный контроль над ресурсами Compute Engine в проекте dev, но она не должна создавать или изменять ресурсы других проектов. Следуя рекомендациям Google, что вы должны сделать?

Предоставление ролей roles/viewer и roles/compute.admin группе DevOps в проекте dev обеспечивает полный контроль над ресурсами Compute Engine в этом проекте, не затрагивая другие. Роль roles/viewer дает возможность просматривать ресурсы, а roles/compute.admin предоставляет все административные разрешения для Compute Engine, включая создание, изменение и удаление экземпляров. Создание политики IAM с разрешениями compute.instanceAdmin. или настраиваемой роли на уровне папки не соответствует рекомендациям Google по наименьшим привилегиям, так как может предоставить избыточные права или распространить их на другие проекты. Базовая роль roles/editor предоставляет слишком широкие разрешения, включая доступ к другим сервисам и проектам, что нарушает принцип наименьших привилегий.