无法添加用户至Google Cloud项目，修改Org Policy后未生效怎么办？

错误原因 #

你遇到的错误是因为Google Cloud组织层级启用了Domain Restricted Sharing（域名限制共享）组织策略，该策略限制仅允许指定域名下的主体（用户、服务账号等）被添加到IAM权限列表中。

解决步骤 #

• 验证目标用户域名权限
  1. 进入IAM & Admin -> Organization Policies，找到「Domain Restricted Sharing」策略
  2. 查看「Allowed domains」列表，确认要添加的用户邮箱域名是否在列表内；若不在，添加对应的域名（格式如example.com）
• 检查策略应用范围
  确认该策略是应用在项目所属的组织/文件夹层级，还是直接绑定到当前项目。如果是上层组织设置的策略，需要修改上层配置，或在项目层级设置「强制覆盖」（需具备对应权限）

策略修改后未生效的处理 #

不需要等待长时间，策略修改通常几分钟内即可生效。若仍未生效，排查以下点：

• 确认策略修改已成功保存，无报错提示
• 检查当前操作的项目是否确实受该策略约束（比如是否被上层组织的策略强制继承）
• 退出并重新登录GCP控制台，或刷新页面后重试添加操作
• 若通过API修改策略，确认调用返回成功，且策略的etag已更新

注意：如果组织规则禁止添加外部域名用户，只能使用允许域名内的账号，或联系组织管理员调整策略。

内容的提问来源于stack exchange，提问作者Thorsten Staerk