Google Cloud○×難易度 応用

フォルダで編集者を付けた人から、配下の 1 プロジェクトだけ編集者を外すには、そのプロジェクトの許可ポリシーから外せばよい。

正答

× 誤り

解説

IAM の許可ポリシーは、組織 → フォルダ → プロジェクト → リソースの順に下へ継承され、実際に効く権限は上位と下位のポリシーの和（合計）になる。フォルダで編集者を付けていれば、プロジェクト側にその人の行が無くても、配下のすべてのプロジェクトで編集者として操作できる。プロジェクトの許可ポリシーから削除しても、フォルダからの継承は残る。特定のプロジェクトだけ外したいなら、フォルダでの付与をやめてプロジェクトごとに付け直すか、IAM の拒否ポリシーで明示的に拒否する。広いロールを上位に付けるときほど慎重になる理由がここにある。

参考: docs.cloud.google.com

iaminheritanceresource-hierarchy