组织包含 Finance 和 Shopping 文件夹。一个开发团队的 Google Group 被授予组织级别的 Project Owner 角色。您必须阻止该开发团队在 Finance 文件夹下创建资源。您应该怎么做？

正确的做法是授予开发团队 Shopping 文件夹的 Project Owner 角色，并移除组织级别的 Project Owner 绑定。这是因为 IAM 权限是继承的，组织级别的 Project Owner 角色会授予对所有子文件夹（包括 Finance 文件夹）的完全控制权。移除组织级别的绑定可以撤销这种广泛的权限。然后，通过在 Shopping 文件夹上授予 Project Owner 角色，可以确保团队仅在该文件夹下拥有创建资源的权限，同时阻止他们在 Finance 文件夹下进行操作。 其他选项不正确： 授予 Finance 文件夹的 Project Viewer 角色并不能阻止 Project Owner 角色带来的创建权限。 仅授予 Finance 文件夹的 Project Viewer 角色不足以满足在 Shopping 文件夹创建资源的需求。 仅授予 Shopping 文件夹的 Project Owner 角色，但没有移除组织级别的 Project Owner 绑定，仍然会导致团队在 Finance 文件夹下拥有创建资源的权限。