GCP如何识别IAM用户所属不同域名并限制仅@gmail.com用户访问

筛选命令 #

你可以直接在原有过滤规则基础上使用NOT关键词取反，同时建议增加用户类型过滤规则，避免把服务账号、谷歌群组等非个人用户主体纳入结果：

gcloud projects get-iam-policy <project id> \
  --flatten="bindings[].members" \
  --format="table(bindings.members)" \
  --filter="NOT @gmail.com AND bindings.members:user:"

可选优化 #

如果需要同时展示对应用户绑定的IAM角色，方便后续权限移除操作，可以修改输出格式：

gcloud projects get-iam-policy <project id> \
  --flatten="bindings[].members" \
  --format="table(bindings.role, bindings.members)" \
  --filter="NOT @gmail.com AND bindings.members:user:"

说明 #

• 过滤条件里的bindings.members:user:用于限定只返回user:开头的个人用户主体，如果你需要筛选所有类型的非gmail后缀IAM主体（含服务账号、群组等），直接删除该部分条件即可
• 命令里的<project id>需要替换为你的实际GCP项目ID

内容的提问来源于stack exchange，提问作者pratibha