Команды Development и External имеют права IAM viewer на папку Visualization. Команда Development должна иметь возможность читать Cloud Storage и BigQuery; команда External должна иметь возможность читать только BigQuery. Какое изменение обеспечит это?

Правильный ответ — создание периметра VPC Service Controls, содержащего оба проекта и Cloud Storage в качестве ограниченного API, с добавлением пользователей команды Development в Access Level периметра. Это позволяет команде Development получать доступ к Cloud Storage, в то время как команда External, не включенная в Access Level, будет заблокирована от доступа к Cloud Storage в соответствии с требованиями. VPC Service Controls предотвращает несанкционированный доступ к данным и эксфильтрацию, обеспечивая гранулированный контроль на уровне сервисов. Удаление разрешений IAM Cloud Storage для команды External неэффективно, так как команда External уже имеет роль Viewer на папку Visualization, которая может включать доступ к Cloud Storage. Правила брандмауэра VPC не контролируют доступ к сервисам Google Cloud, таким как Cloud Storage или BigQuery, а регулируют сетевой трафик между ресурсами. Создание периметра с BigQuery в качестве ограниченного API заблокирует доступ к BigQuery для команды External, что противоречит требованию.