Cloud Identity et Organization sont activés. Vous devez empêcher les utilisateurs extérieurs au domaine de recevoir des autorisations IAM à l'avenir. Que devez-vous configurer ?

La bonne réponse est de définir une politique d'organisation qui restreint les identités au domaine de l'entreprise. Cette politique, spécifiquement la contrainte constraints/iam.allowedPolicyMemberDomains, empêche l'ajout de comptes d'utilisateurs ou de groupes en dehors des domaines spécifiés aux politiques IAM de votre organisation, de vos dossiers ou de vos projets. C'est la méthode la plus efficace et la plus préventive pour garantir que seuls les utilisateurs de votre domaine peuvent recevoir des autorisations. Bloquer la création de comptes de service n'empêcherait pas les utilisateurs externes d'obtenir des autorisations, car les comptes de service sont des identités d'application, pas des utilisateurs humains. Les options impliquant Cloud Scheduler ou une VM Compute Engine avec un cron job sont des solutions réactives et temporaires qui ne préviennent pas l'attribution initiale d'autorisations et sont moins efficaces que l'application d'une politique d'organisation préventive.