原创建者离职后，如何获取Google Cloud super admin权限绑定Azure AD？

问题背景 #

• 公司两年前创建的GCP账号，原创建者已离职，无法获取其账号完整权限
• 当前账号被标记为Owner，但所有操作均提示需拥有Super Admin角色
• 目标是将账号与Azure AD绑定，但该操作要求必须具备Super Admin权限
• 无法付费联系官方支持（无管理员权限），可访问创建者邮箱但验证时需要其手机号
• 域名已绑定当前账号，且有两年业务数据积累，无法创建新账号

遇到的错误提示 #

1. You do not have an Organization resource.
2. Your current account is not an administrator of an organization on Google Cloud.
3. Your current account doesn’t have the permissions to perform this task. Log into the Cloud Console using your Cloud Identity super administrator account.

可行解决路径 #

1. 通过创建者邮箱提交账号归属证明，申请重置管理员权限 #

虽然验证需要原创建者手机号，但可以尝试绕过：

• 登录创建者邮箱，进入GCP控制台的权限重置流程，选择「无法访问验证方式」
• 提交能证明公司对该GCP账号拥有所有权的材料：比如公司营业执照、已绑定域名的注册信息截图、账号下项目资源的业务凭证、原员工离职证明（可选）
• 在申请说明中明确：原管理员已离职，公司需要接管账号权限以开展业务，请求绕过手机号验证并授予当前账号Super Admin权限

2. 尝试以Owner身份创建Organization资源 #

当前账号是Owner，可尝试发起Organization创建请求：

• 进入GCP控制台「IAM与管理员」-「组织」页面，点击创建Organization，填写公司信息及已绑定的域名
• 如果创建流程中未强制要求Super Admin权限，完成后即可获取组织管理员权限，进而绑定Azure AD
• 若创建时仍提示需Super Admin，回到第一步提交归属证明申请

3. 临时过渡方案（针对Azure AD集成需求） #

如果暂时无法获取Super Admin权限，可先实现部分身份集成：

• 测试用Owner权限配置GCP Cloud Identity的SCIM同步，将Azure AD用户同步到GCP，实现用户生命周期管理
• 为业务核心用户单独创建GCP账号，通过Azure AD条件访问策略控制这些账号的登录权限，作为临时过渡

内容的提问来源于stack exchange，提问作者Boone