某組織有 Finance 和 Shopping 兩個資料夾。一個開發團隊的 Google 群組被授予 Organization 層級的 Project Owner 角色。您必須防止該開發群組在 Finance 資料夾下建立資源。您應該怎麼做？

由於 IAM 政策是繼承的，Organization 層級的 Project Owner 角色會賦予開發群組在所有資料夾（包括 Finance 和 Shopping）中建立資源的權限。要防止他們在 Finance 資料夾下建立資源，必須移除這個廣泛的權限。將 Project Owner 角色授予 Shopping 資料夾，可確保他們在該資料夾中擁有必要的權限，同時透過移除 Organization 層級的綁定，限制他們在 Finance 資料夾的權限。單獨授予 Project Viewer 角色或僅授予 Shopping 資料夾的 Project Owner 角色，無法有效撤銷 Organization 層級的 Project Owner 權限。