如何继承访问权限以查看属于 GCP 组织的所有项目？

Question

我目前被列为 Google Workspace 管理员，但由于某种原因，我似乎仍然无法执行某些操作，例如创建文件夹来组织项目。我们使用 terraform 生成一些项目，生成的项目仅授予对权限中直接指定的项目的访问权限。

我看到网站上引用的继承权限/访问权限。我们如何设置它，以便我和其他一些人始终继承访问权限以查看为组织创建的每个项目？

Answer 1

我看到网站上引用的继承权限/访问权限。我们如何设置它，以便我和其他一些人始终继承访问权限以查看为组织创建的每个项目？

权限是继承的。如果您想要访问组织中的所有项目（包括未来的项目），请在组织级别授予身份角色。

例如，要授予查看组织中所有文件夹项目的能力，适当的角色是Roles/resourcemanager.organizationViewer。允许身份浏览文件夹、项目和 IAM 策略的下一个级别是Roles/browser。

要将角色授予身份：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
  --member=PRINCIPAL_TYPE:ID \
  --role=ROLE_ID

• RESOURCE_TYPE：项目、文件夹或组织
• RESOUOURCE_ID：要匹配的 PROJECT_ID、FOLDER_ID 或 ORGANIZATION_ID - -
• PRINCIPAL_TYPE：常见值为 serviceAccount、group 或 user
• ID：身份的电子邮件地址。示例 john@gmail.com
• ROLE_ID：要授予的角色。示例角色/resourcemanager.organizationViewer

命令示例：（将 $ORG_ID 替换为组织 ID）

gcloud organizations add-iam-policy-binding $ORG_ID \
  --member=user:john@gmail.com \
  --role=roles/resourcemanager.organizationViewer

使用 IAM 的组织的访问控制

您可以使用 Google Cloud Console GUI 以及 SDK 和 API 来完成上述操作。