Google Cloud Identity嵌套用户组成员未继承IAM角色授权问题

根因分析 #

• 权限传播延迟：Google Cloud IAM的组权限变更最长需要45分钟完成全链路同步，刚完成组嵌套或IAM绑定操作时会出现临时权限缺失
• Google Workspace用户组配置限制：组开启了「禁止嵌套成员继承权限」相关开关，或组的成员可见性设置为「仅组管理员可见」，导致IAM无法遍历识别嵌套的子组成员
• 拒绝策略覆盖：项目、组织层级配置了显式拒绝roles/browser相关权限的IAM策略，优先级高于继承的允许策略
• 成员身份未同步：user@company.com未完成Google Cloud账号激活，或组织内的身份同步任务异常，导致IAM系统无法识别用户的组归属关系

修复方案 #

• 等待权限同步：若刚完成配置，最长等待45分钟后重试验证
• 调整用户组配置：将group-a@company.com、role-group-b@company.com的成员可见性调整为「所有组织内成员可见」，关闭组权限继承限制开关
• 清理冲突策略：排查项目、文件夹、组织层级的IAM拒绝策略，移除覆盖roles/browser权限的规则
• 触发身份同步：在Google Workspace管理后台手动触发身份同步，确认user@company.com的组成员身份正常生效

复现与产品Bug判定 #

该场景可在Google Cloud账号中稳定复现，触发条件为上述任意一种配置错误，不属于产品Bug。只有在所有配置符合要求、等待超过2小时仍权限不生效的极端情况，才属于Google Cloud侧的同步故障。

排查思路 #

1. 运行gcloud projects get-iam-policy foo-bar-af09，确认role-group-b@company.com确实绑定了roles/browser角色
2. 运行gcloud groups get-membership role-group-b@company.com，确认group-a@company.com是该组成员
3. 运行gcloud groups get-membership group-a@company.com，确认user@company.com是该组成员
4. 运行gcloud projects get-iam-policy foo-bar-af09 --filter="bindings.role:roles/browser" --format=json，确认无相关拒绝策略
5. 等待45分钟后运行gcloud projects get-iam-policy foo-bar-af09 --enable-authorized-views --view=FULL，检查权限传播状态

子用户组成员可继承父用户组的部分权限，该规则仅在组配置符合IAM要求的前提下生效。

内容的提问来源于stack exchange，提问作者Overbryd