如何防止用户创建 GCP 项目

Question

在 GCP 中，任何用户都可以创建项目。一个组织最终可能会在其层次结构中拥有很多项目。

如何禁止所有用户创建项目，只允许少数授权用户创建项目？

Answer 1

权限是从顶层继承的，在这种情况下是从组织继承的：

默认情况下，在创建组织时，您的整个域都被授予组织级别的项目创建者和计费帐户创建者 IAM 角色。这可确保您域中的用户能够像以前一样继续创建项目，并且不会发生中断。

组织管理员将决定何时开始积极使用组织。然后，他们可以根据需要更改默认权限并实施更严格的策略。

在使用资源层次结构进行访问控制中，最底部有一个 gem：

如果您想限制在您的组织中创建项目，请更改组织访问策略以将项目创建者角色授予您管理的组。

具体来说，您要取消继承的角色是roles/resourcemanager.projectCreator：

提供创建新项目的权限。一旦用户创建了一个项目，他们就会被自动授予该项目的所有者角色。