ゲーム会社の開発者は、サービスプロジェクトで GKE クラスタを作成し、ホストプロジェクトが持つ Shared VPC のサブネットにノードを置く必要がある。開発者自身には必要な権限が付与済みであるが、クラスタの作成では GKE のサービスエージェントもホストプロジェクトのネットワークを操作する。最小限の権限で構成したい。GKE のサービスエージェントに必要な権限の組み合わせはどれか。