确保资源仅与电子邮件地址与您的 Google Workspace 域匹配的用户共享，并在不审计每个资源的情况下移除现有不匹配的用户。您应该怎么做？

正确答案是设置组织策略约束以按域限制身份，然后追溯性地移除现有不匹配的用户。组织策略约束 constraints/iam.allowedPolicyMemberDomains 允许您指定哪些 Google Workspace 域的身份可以被添加到 IAM 策略中。一旦设置，它会阻止新的外部身份被添加。为了移除现有不匹配的用户，您需要追溯性地执行清理操作，因为组织策略不会自动移除已存在的绑定。 创建 Cloud Scheduler 作业来扫描和删除用户不是一个推荐或可扩展的解决方案。组织策略是管理此类限制的正确工具，它在组织层面强制执行，比手动或脚本化的扫描更有效和安全。