В этом случае вы можете достичь этого как администратор Shared VPC, который может определить члена IAM из сервисного проекта в качестве администратора сервисного проекта с доступом только к некоторым подсетям в хост-проекте.
Надеюсь, это работает для вас.