Убедитесь, что ресурсы используются совместно только с пользователями, чьи адреса электронной почты соответствуют вашему домену Google Workspace, и удалите существующих несоответствующих пользователей без аудита каждого ресурса. Что вы должны сделать?

Правильный ответ — установить ограничение политики организации на ограничение идентификаторов по домену, а затем ретроактивно удалить существующих несоответствующих пользователей. Это ограничение (constraints/iam.allowedPolicyMemberDomains) позволяет указать, какие домены Google Workspace могут использоваться для участников IAM. После установки этого ограничения вы можете использовать инструмент Policy Troubleshooter или скрипты для выявления и удаления существующих внешних пользователей. Создание задания Cloud Scheduler для сканирования проектов или ресурсов и удаления пользователей не является рекомендуемым подходом. Это требует написания и поддержки пользовательского кода, что менее эффективно и более подвержено ошибкам, чем использование встроенных политик организации. Кроме того, Cloud Scheduler сам по себе не предоставляет функциональность для автоматического удаления пользователей на основе домена. Простое установление ограничения политики организации без ретроактивного удаления не решит проблему с уже существующими внешними пользователями, которым был предоставлен доступ. Ограничение будет применяться только к новым назначениям ролей.