配置GCP组织策略iam.allowedPolicyMemberDomains遇无效值错误排查

问题背景 #

尝试在组织级别设置Google Cloud组织策略constraints/iam.allowedPolicyMemberDomains，限制IAM成员仅来自已验证域名sksolution.app，但反复收到「Invalid value」错误。

环境信息 #

• 组织ID：22879724865
• 主域名：sksolution.app（已验证）
• Google Cloud SDK版本：527.0.0
• 操作账号：administrator@sksolution.app，拥有Organization Policy Administrator角色

已执行操作 #

• 确认域名已在Google Workspace管理控制台、GCP控制台「IAM与Admin>身份与组织>域名」中完成验证
• 通过GCP控制台添加domains/sksolution.app为允许值，立即触发无效值错误
• 通过gcloud CLI创建domain-policy.yaml并执行设置命令，已启用orgpolicy.googleapis.com API，重试后仍收到INVALID_ARGUMENT错误

可能的原因及解决方法 #

1. 策略值格式错误 #

该策略的允许值不需要前缀domains/，直接填写纯域名即可。正确的允许值应为sksolution.app，而非domains/sksolution.app。

2. 域名未与GCP组织关联 #

即使域名在Workspace完成验证，仍需确认其已添加到GCP组织的域名列表：

• 登录GCP控制台，进入「IAM与Admin > 身份与组织 > 域名」
• 确认sksolution.app已在列表中，状态为「已验证」
• 若未添加，点击「添加域名」完成关联操作

3. API启用或权限延迟 #

• 确认orgpolicy.googleapis.com API已完全启用（启用后可能需等待1-2分钟生效）
• 执行以下命令检查操作账号权限：

gcloud organizations get-iam-policy 22879724865 --filter="bindings.members:administrator@sksolution.app"

确保账号拥有roles/orgpolicy.policyAdmin角色及orgpolicy.policies.set权限

4. CLI配置文件格式错误 #

检查domain-policy.yaml的格式是否符合要求，正确示例如下：

constraint: constraints/iam.allowedPolicyMemberDomains
listPolicy:
  allow:
    values:
      - "sksolution.app"

执行设置命令时需明确指定组织ID：

gcloud org-policies set-policy domain-policy.yaml --organization=22879724865

内容的提问来源于stack exchange，提问作者CleanCodeOnline