Команде платформы необходимо предоставить подрядчику возможность создавать и изменять сети VPC, подсети, Cloud Routers и Cloud NATs, но не изменять IAM или биллинг. Какую предопределенную роль IAM следует предоставить на уровне проекта, чтобы следовать принципу наименьших привилегий?

Роль Compute Network Admin (roles/compute.networkAdmin) предоставляет разрешения на создание и изменение сетевых ресурсов, таких как сети VPC, подсети, Cloud Routers и Cloud NAT, без доступа к IAM или биллингу. Это соответствует принципу наименьших привилегий. Organization Admin (roles/resourcemanager.organizationAdmin) — это слишком широкая роль, предоставляющая полный контроль над всей организацией, включая IAM и биллинг. Compute Admin (roles/compute.admin) предоставляет полный контроль над всеми ресурсами Compute Engine, что шире, чем требуется, и может включать доступ к виртуальным машинам, но не специфичен для сетевых ресурсов. Project Editor (roles/editor) также является слишком широкой ролью, предоставляющей права на редактирование большинства ресурсов в проекте, включая потенциально IAM и биллинг, что нарушает принцип наименьших привилегий.