如何继承访问权以查看属于 GCP 组织的所有项目？答案

【问题标题】：How to inherit access to see all projects belonging to a GCP organization?如何继承访问权以查看属于 GCP 组织的所有项目？
【发布时间】：2021-12-15 09:37:18
【问题描述】：

我目前在 Google Workspace 上被列为管理员，但由于某种原因，我似乎仍然无法执行某些操作，例如创建文件夹来组织项目。我们正在使用 terraform 生成一些项目，生成的项目仅授予权限中直接指定的项目的访问权限。

我看到网站上引用了继承的权限/访问权限。我们将如何设置它，以便我和其他一些人始终继承访问权限以查看为组织创建的每个项目？

【问题讨论】：

标签： google-cloud-platform terraform terraform-provider-gcp google-iam google-cloud-iam

【解决方案1】：

我看到网站上引用了继承的权限/访问权限。如何我们会设置它，以便我和其他一些人总是继承有权查看为组织创建的每个项目？

权限是继承的。如果您想访问组织中的所有项目，包括未来的项目，请在组织级别授予身份角色。

例如，要授予查看组织中所有文件夹项目的权限，适当的角色是 roles/resourcemanager.organizationViewer。允许身份浏览文件夹、项目和 IAM 策略的下一个级别是 roles/browser。

将角色授予身份：

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
  --member=PRINCIPAL_TYPE:ID \
  --role=ROLE_ID

RESOURCE_TYPE：项目、文件夹或组织
RESOUOURCE_ID：要匹配的 PROJECT_ID、FOLDER_ID 或 ORGANIZATION_ID - -
PRINCIPAL_TYPE：常用值为 serviceAccount、group 或 user
ID：身份的电子邮件地址。示例 john@gmail.com
ROLE_ID：要授予的角色。示例角色/resourcemanager.organizationViewer

示例命令：（将 $ORG_ID 替换为组织 ID）

gcloud organizations add-iam-policy-binding $ORG_ID \
  --member=user:john@gmail.com \
  --role=roles/resourcemanager.organizationViewer

Access control for organizations using IAM

您可以使用 Google Cloud Console GUI 以及通过 SDK 和 API 完成上述操作。

【讨论】：

如果我只想获得对所有内容的默认管理员访问权限，我应该请求什么角色。作为工作区管理员，我有点惊讶，但我没有。
1) Google Workspace 和 Google Cloud 是独立管理的。 2) 没有授予 admin 的单一角色，这意味着对所有服务和资源的所有权限。最接近的是 Owner 加上 Organization Admin。