Cloud Identity 和 Organization 已启用。您必须阻止域外的用户在未来获得 IAM 权限。您应该配置什么？

正确的做法是设置一个组织策略，将身份限制在公司域内。这是通过“域限制共享”组织策略约束（constraints/iam.allowedPolicyMemberDomains）实现的。启用此策略后，只有属于指定域的身份才能被添加到IAM策略中，从而有效阻止域外用户获得未来权限。 阻止创建服务账号（选项2）是错误的，因为服务账号是内部工作负载的重要组成部分，并且与限制外部用户无关。定期运行脚本（选项3和4）是反应性措施，效率低下且容易出错，无法在权限授予时立即阻止，也不符合Google Cloud的最佳实践。组织策略是预防性的、强制性的，并且是管理整个组织安全边界的推荐方法。