假設 IAM policy 設定在組織、資料夾和專案層級，資源階層中某個節點的有效 IAM policy 會是什麼？

在 Google Cloud 的 IAM 資源階層中，政策是繼承的。這表示子資源會繼承其父資源的 IAM 政策。當您在特定節點（例如專案）評估有效的 IAM 政策時，它會是直接套用至該節點的政策與從其所有上層節點（資料夾、組織）繼承的政策的「聯集」。這意味著任何在父級授予的權限都會傳遞給子級，並且子級可以擁有額外的權限。 選項「有效 policy 僅由設定在該節點的 policy 決定」是錯誤的，因為它忽略了繼承。選項「有效 policy 是設定在該節點的 policy，並受其上層節點 policy 的限制」是錯誤的，因為 IAM 政策是累加的，而不是限制性的。選項「有效 policy 是設定在該節點的 policy 與從其上層節點繼承的 policy 的交集」是錯誤的，因為交集會導致權限減少，而實際上是聯集，權限會擴展或保持不變。