如何向Google Cloud(GCP)添加新成员？报错及绑定微软账号问题如何解决？

相关报错参考 #

报错排查步骤 #

• 校验操作账号权限：你当前使用的账号必须持有目标项目的roles/resourcemanager.projectIamAdmin（项目IAM管理员）或roles/owner（所有者）权限，权限不足会直接返回添加失败
• 核对待添加账号拼写：确认输入的邮箱没有多余空格、拼写错误，大小写不影响但要保证完整后缀正确
• 检查组织域限制策略：如果是企业管理的GCP组织，默认可能开启了域限制共享规则，仅允许添加指定域名的账号，待添加账号域名不在允许列表时会被拦截，需联系组织管理员调整对应策略的允许域名范围
• 排查重复添加情况：在IAM页面搜索待添加的邮箱，确认该账号未被提前绑定过权限，重复提交添加请求也会触发报错
• 核对IAM配额：单项目的IAM成员绑定配额默认有上限，超出上限时需要先清理无用的成员绑定，或提交配额提升申请

微软账号接入GCP说明 #

GCP完全支持微软个人账号（Outlook、Hotmail等）、微软企业工作账号作为外部身份接入，无需额外注册Google账号即可使用。

微软账号添加至GCP操作步骤 #

• 提前确认操作账号具备IAM管理员/所有者权限，企业组织用户先完成域限制共享策略调整，将微软账号的对应域名加入允许列表
• 进入目标GCP项目的「IAM与管理」→「IAM」页面，点击顶部的「授予访问权限」按钮
• 在「新主体」输入框中直接填入完整的微软账号邮箱
• 在「角色」下拉列表中为该账号分配对应权限，建议遵循最小权限原则配置
• 点击「保存」即完成添加
• 后续该账号访问GCP控制台时，直接填入微软邮箱，走微软身份校验流程即可访问被授权的GCP资源

内容的提问来源于stack exchange，提问作者Rohan Kumar Chada