L'organizzazione ha le cartelle Finance e Shopping. A un Google Group del team di sviluppo viene concesso il ruolo di Project Owner a livello di organizzazione. È necessario impedire al gruppo di sviluppo di creare risorse nella cartella Finance. Cosa si dovrebbe fare?

La risposta corretta è "Concedere al gruppo di sviluppo il ruolo di Project Owner sulla cartella Shopping e rimuovere il binding di Project Owner del gruppo di sviluppo a livello di organizzazione." Questo perché i ruoli IAM sono ereditati gerarchicamente. Se il gruppo ha il ruolo di Project Owner a livello di organizzazione, avrà implicitamente i permessi di Project Owner su tutte le cartelle e i progetti sottostanti, inclusa la cartella Finance. Rimuovendo il ruolo a livello di organizzazione e concedendo un ruolo più specifico (Project Owner) solo sulla cartella Shopping, si limita efficacemente la capacità del gruppo di creare risorse nella cartella Finance, dove non avrà più il ruolo di Project Owner. Le altre opzioni non risolvono il problema perché o mantengono i permessi a livello di organizzazione, o non rimuovono l'accesso indesiderato, o concedono ruoli insufficienti.