向GCP项目角色添加指定用户时异常加入未授权用户问题咨询

可能原因 #

• Google Workspace账号映射冲突：企业Workspace后台可能为usera@company.com配置了备用恢复账号、别名或关联账号规则，映射指向userz@gmail.com。GCP IAM解析用户身份时会优先读取Workspace全局身份映射配置，导致权限最终绑定到映射后的账号，该规则对所有操作渠道生效。
• GCP组织级策略约束：若GCP组织配置了IAM条件规则、组织策略或自定义准入控制，针对@company.com后缀的用户绑定请求配置了自动替换规则，这类组织级规则优先级高于项目级操作，控制台、gcloud CLI、Terraform等所有调用GCP IAM API的操作都会触发该规则。
• Google账号个人关联配置：usera@company.com的个人Google账号配置中，可能开启了权限委托、账号共享或者邀请自动转移规则，所有发送到该账号的GCP权限邀请会自动被userz@gmail.com承接，这类个人级配置在Google生态全局生效，不受企业管理员管控。
• 极低概率的身份ID冲突：Google账号内部唯一PID出现映射异常，usera@company.com的PID与userz@gmail.com的PID存在错误关联，导致IAM身份解析时匹配到错误账号。

验证排查步骤 #

• 执行命令完成权限绑定后，直接调用IAM API查询实际生效的权限列表：

  # 绑定权限
  gcloud projects add-iam-policy-binding <PROJECT_ID> --member=user:usera@company.com --role=roles/editor
  # 查询生效的权限
  gcloud projects get-iam-policy <PROJECT_ID> --format=json | jq '.bindings[] | select(.role=="roles/editor") | .members'
  

  确认返回结果中存在的是user:usera@company.com还是user:userz@gmail.com
• 联系企业Workspace管理员，查询usera@company.com的所有别名、关联账号、恢复账号配置，排查是否存在指向userz@gmail.com的映射规则
• 登录GCP组织管理后台，检查组织级IAM策略、组织约束、自定义准入控制规则，是否存在针对@company.com用户的自动替换逻辑
• 让usera@company.com登录Google账号管理中心，检查「账号权限」「委托管理」「关联账号」板块下是否存在userz@gmail.com的相关配置
• 可尝试将usera@company.com绑定到其他Google云服务（比如Google Drive共享权限），验证是否也会自动替换为userz@gmail.com，确认问题是否存在于整个Google生态还是仅GCP IAM范围

内容的提问来源于stack exchange，提问作者lupercalia