如何将外部Google账号添加到Cloud Identity Groups实现混合用户组管理

1. Google Identity用户组成员范围是否仅限同域用户？ #

默认状态下，你在自有域名example.com下创建的Google Identity用户组确实默认仅支持同域用户加入，该限制由用户组的默认安全配置导致，并非功能本身不支持外部成员加入。

2. 同域用户与外部Google账号混合用户组统一管理实现方案 #

• 修改现有组的成员加入限制
  登录Google Admin控制台，进入目标组my-admins@example.com的设置页面，找到「成员权限」分类，将「允许添加的成员类型」中的「仅允许同域用户加入」选项取消勾选并保存配置，保存后即可直接将googleaccount123@gmail.com这类外部Google账号添加到该用户组中，实现混合成员统一管理。
  注意：开放外部成员加入权限后，建议同步关闭「允许外部用户向组内发送邮件」等非必要权限，降低安全风险
• 分层组管理方案（更推荐权限隔离场景）
  如果你需要区分同域、外部成员的权限边界，可以单独创建专属外部成员组，例如external-collaborators@example.com，将所有外部合作账号添加到该组中，再将该外部组作为子组成员添加到my-admins@example.com主组中，主组分配的所有组织权限会自动继承给外部组的所有成员，同时你也可以针对外部组单独配置额外的权限限制，管理灵活性更高。
• 配置完成后，你可以进入Google Cloud IAM控制台，核验外部账号是否已通过用户组继承到对应的组织角色权限，确认配置生效即可。

内容的提问来源于stack exchange，提问作者plasmadrive