Многие команды создают несколько проектов GCP, и каждому проекту требуется определенный доступ. Центральный ИТ-отдел должен иметь доступ ко всем проектам, а данные Cloud Storage/BigQuery должны совместно использоваться в режиме ad hoc. Какие два шага следует предпринять, чтобы минимизировать политики IAM?

Использование иерархии ресурсов (папки/организации) позволяет применять политики IAM на более высоком уровне, которые затем наследуются дочерними ресурсами. Это значительно сокращает количество индивидуальных политик, необходимых для управления доступом. Создание отдельных групп для каждой команды и ссылка на эти группы в политиках IAM также минимизирует количество политик. Вместо того чтобы назначать разрешения каждому пользователю индивидуально, вы назначаете их группе, а затем добавляете или удаляете пользователей из этой группы по мере необходимости. Использование Cloud Deployment Manager автоматизирует предоставление доступа, но не минимизирует количество политик. Использование сервисных аккаунтов для совместного использования данных не является основной стратегией минимизации политик IAM для пользователей. Перечисление проектов и пользователей для каждого ресурса приведет к созданию большого количества политик, что противоречит цели минимизации.