開發團隊和外部團隊都在 Visualization 資料夾上擁有 viewer IAM 權限。開發團隊應能讀取 Cloud Storage 和 BigQuery；外部團隊應只能讀取 BigQuery。要實施這項要求，需要進行什麼變更？

正確答案是建立一個 VPC Service Controls 邊界，包含這兩個專案和 Cloud Storage 作為受限 API；將開發團隊使用者新增到該邊界的 Access Level。這是因為 VPC Service Controls 能夠建立資料外洩防護邊界，限制對指定服務（例如 Cloud Storage）的存取。透過將 Cloud Storage 列為受限 API，並僅允許開發團隊透過 Access Level 存取，可以確保外部團隊無法讀取 Cloud Storage，同時仍能存取 BigQuery。 移除外部團隊的 Cloud Storage IAM 權限無法阻止他們透過其他專案存取。VPC 防火牆規則主要用於網路層級的流量控制，而非服務層級的資料存取限制。將 BigQuery 列為受限 API 會限制所有團隊對 BigQuery 的存取，不符合外部團隊需要讀取 BigQuery 的要求。