Usługa Cloud Identity i organizacja są włączone. Musisz uniemożliwić użytkownikom spoza domeny otrzymywanie uprawnień IAM w przyszłości. Co należy skonfigurować?

Poprawna odpowiedź to ustawienie zasady organizacji, która ogranicza tożsamości do domeny korporacyjnej. Ta zasada (constraints/iam.allowedPolicyMemberDomains) zapobiega dodawaniu użytkowników spoza określonych domen do zasad IAM w całej organizacji, co jest najskuteczniejszym i zalecanym sposobem na wymuszenie tego ograniczenia. Blokowanie tworzenia kont usługowych jest nieprawidłowe, ponieważ konta usługowe są niezbędne do działania wielu usług Google Cloud i nie są tożsamościami użytkowników spoza domeny. Konfigurowanie Cloud Scheduler z Cloud Function lub crona na maszynie wirtualnej to rozwiązania reaktywne i oparte na skryptach, które są mniej bezpieczne, bardziej złożone w utrzymaniu i mogą prowadzić do tymczasowego przyznania niepożądanych uprawnień. Zasady organizacji są proaktywne i egzekwowane na poziomie platformy.