Eine Organisation verfügt über die Ordner „Finance“ und „Shopping“. Einer Google-Gruppe des Entwicklerteams wird die Rolle „Project Owner“ auf Organisationsebene zugewiesen. Sie müssen verhindern, dass die Entwicklergruppe Ressourcen im Ordner „Finance“ erstellt. Was sollten Sie tun?

Die korrekte Lösung besteht darin, die Rolle „Project Owner“ auf Organisationsebene für die Entwicklergruppe zu entfernen und ihr stattdessen die Rolle „Project Owner“ nur für den Ordner „Shopping“ zuzuweisen. IAM-Richtlinien sind hierarchisch und werden von übergeordneten Ebenen vererbt. Wenn die Entwicklergruppe „Project Owner“ auf Organisationsebene ist, hat sie diese Berechtigung für alle Ordner und Projekte innerhalb der Organisation, einschließlich „Finance“. Durch das Entfernen dieser übergeordneten Berechtigung und das Zuweisen einer spezifischeren Rolle auf der Ebene des „Shopping“-Ordners wird sichergestellt, dass die Entwickler nur dort Ressourcen erstellen können. Die Zuweisung von „Project Viewer“ für den „Finance“-Ordner würde die Berechtigungen von „Project Owner“ auf Organisationsebene nicht außer Kraft setzen, da „Project Owner“ umfassendere Berechtigungen hat. Das Zuweisen von „Project Viewer“ für „Finance“ und „Project Owner“ für „Shopping“ würde ebenfalls nicht funktionieren, solange die Organisationsebene „Project Owner“ noch aktiv ist. Das alleinige Zuweisen von „Project Owner“ für „Shopping“ ohne Entfernen der Organisationsrolle würde das Problem nicht lösen.