超级管理员账号无法编辑Google Cloud组织策略，无法创建ServiceAccount Keys

一、超级管理员无法编辑组织策略的原因 #

Workspace超级管理员权限并不自动覆盖GCP组织的组织策略管理权限，你需要在GCP IAM中为admin@domain.org账号分配专门的组织策略管理员角色，才能编辑组织级约束。

二、解决组织策略限制的步骤 #

1. 登录GCP控制台，通过左上角项目选择器切换到组织根节点（而非单个项目）。
2. 进入「IAM与管理员」→「IAM」页面，找到admin@domain.org账号，点击右侧编辑按钮。
3. 添加角色 roles/orgpolicy.policyAdmin（组织策略管理员），该角色包含编辑组织策略所需的全部权限，保存设置。
4. 返回「组织策略」页面，搜索约束iam.disableServiceAccountKeyCreation，编辑策略：
   • 若要全局允许密钥创建，将策略设置为「允许」；
   • 若仅需为特定项目/服务账号例外，添加对应的豁免条件。

三、无需修改组织策略的替代方案 #

1. 使用工作负载身份（Workload Identity） #

如果你的网站部署在GCP托管服务（如Cloud Run、GKE、App Engine）上，可配置工作负载身份，让服务直接关联服务账号身份，无需生成密钥即可调用Calendar API。

2. OAuth 2.0授权码流程 #

放弃使用服务账号，改为让终端用户通过OAuth 2.0授权你的应用访问其Google Calendar，进而创建Meet链接。这种方式适合需要用户自主授权的场景，完全避开服务账号密钥的问题。

3. 域范围委派+身份模拟（仅适用于Google Workspace域名） #

若你的账号属于Workspace域名，已完成服务账号的域范围委派配置，可在GCP内部服务中直接使用服务账号身份，或通过身份模拟调用Calendar API，无需生成密钥。

内容的提问来源于stack exchange，提问作者Shivam kumar