DevOps 需要完全控制 dev 專案中的 Compute Engine 資源，但不得建立或修改其他專案資源。根據 Google 的指南，您應該怎麼做？

正確答案是授予群組 roles/viewer 和預設角色 roles/compute.admin。roles/compute.admin 角色提供對 Compute Engine 資源的完全控制權，符合 DevOps 團隊的需求。同時授予 roles/viewer 角色，讓團隊可以查看專案中的所有資源，但不能修改非 Compute Engine 資源，這滿足了「不得建立或修改其他專案資源」的要求。 建立一個 IAM 政策授予所有 compute.instanceAdmin. 權限是不完整的，因為 compute.instanceAdmin. 權限只涵蓋了執行個體管理，而 roles/compute.admin 提供了更廣泛的 Compute Engine 資源管理權限。在資料夾層級建立自訂角色並授予群組，雖然可行，但預設角色通常是更簡單且推薦的做法，除非有非常特定的權限需求。授予群組基本角色 roles/editor 則會賦予過多的權限，允許修改專案中的所有資源，不符合題目的限制。