Canaryリリース戦略を用いてGKE上のアプリケーションを更新したい。Istio（Anthos Service Mesh）を使用する場合、トラフィック分割を制御するリソースはどれか。

共有VPC環境で、サービスプロジェクトの管理者がホストプロジェクト内の特定のサブネットにリソースを作成できるようにするためには、ホストプロジェクト管理者はどのロールを付与すべきか。