如果用户具有组织级别的访问权限，是否有办法限制他们访问某些GCP服务?

Question

在我的GCP组织中，我们有几个用户在组织级别对其内部所有项目的IAM具有访问权限。我有一个场景，我需要限制某些用户对特定项目的特定服务的访问权限。

我知道VPC服务控制周长，但由于我想限制的服务是GCPFireStore服务，并且它不被VPC SC支持，在这里可以做些什么来限制访问?

如果有的话，请给我建议一些替代的方法。

Answer 1

权限是继承的。如果你授予一个身份在/folder级别的角色，这些权限在项目级别继承。

Google正在快速发展组织策略约束这可能会在不久的将来使这个答案无效。

在这个时候，你最好的解决方案是删除在/folder级别的权限，并在项目级别授予权限，如果你需要项目级别的IAM控制。