迁移小型企业邮箱至Microsoft 365时Google Cloud服务账号密钥创建权限受阻

核心问题定位 #

你遇到的Service account key creation is disabled错误，根源是组织级策略强制启用了iam.disableServiceAccountKeyCreation规则，且当前账号权限不足以修改该策略或操作目标项目。

分步解决步骤 #

1. 确认当前账号的组织级Owner权限 #

组织策略的修改必须由组织Owner操作，先验证当前账号是否具备该权限：

• 先获取你的组织ID：

  gcloud organizations list
  

• 替换[ORGANIZATION_ID]和[YOUR_EMAIL]，执行命令查看当前账号的组织角色：

  gcloud organizations get-iam-policy [ORGANIZATION_ID] --filter="bindings.members:user:[YOUR_EMAIL]"
  

  如果返回结果中没有roles/owner角色，说明当前账号并非组织所有者，需要确认账号权限配置是否正确（比如是否是Google Workspace超级管理员，且关联了Cloud组织的Owner权限）。

2. 修改组织策略，禁用密钥创建限制 #

确认账号是组织Owner后，执行命令关闭该强制策略：

gcloud resource-manager org-policies disable-enforce iam.disableServiceAccountKeyCreation --organization=[ORGANIZATION_ID]

或通过Google Cloud控制台操作：

• 进入IAM & Admin -> 组织策略
• 搜索iam.disableServiceAccountKeyCreation规则
• 将策略状态设置为「不强制」

3. 给当前账号添加目标项目的Owner权限 #

执行以下命令（替换[PROJECT_ID]和[YOUR_EMAIL]），确保账号能访问并操作目标项目：

gcloud projects add-iam-policy-binding [PROJECT_ID] --member=user:[YOUR_EMAIL] --role=roles/owner

4. 重新尝试创建服务账号密钥 #

等待策略生效（约5-10分钟）后，再次执行密钥创建命令：

gcloud iam service-accounts keys create file.json \
--iam-account serviceaccountkey@projectid-tpmz.iam.gserviceaccount.com

注意事项 #

• 如果当前账号确实不是组织Owner，需要联系Google Workspace超级管理员，让其为你的账号分配组织Owner权限，或由管理员直接执行上述策略修改操作。
• 策略修改后需等待同步时间，不要立即重复操作以免误判。

内容的提问来源于stack exchange，提问作者Helpful_Triazole