用于 Microsoft 迁移的 Google Cloud 组织策略权限

Question

我正在尝试将小型企业（5 个电子邮件收件箱）转移到 Microsoft 365 业务。在执行迁移之前，我确保组织好双方的所有 DNS 先决条件。在自动化过程中，虽然完成，但 Google 端并未创建任何 JSON 文件。我尝试下载服务帐户的 API 密钥，但收到错误消息，表明服务帐户密钥创建已被禁用。 追踪发现，我发现在组织策略下强制执行了服务帐户密钥创建（iam.disableServiceAccountKeyCreation）。只有一个帐户可以访问云、策略等。该帐户应该具有所有组织权限，但是检查云 shell 时，我继续收到访问错误，并且服务帐户或主帐户似乎都没有权限进行任何更改的权限。

我对 IT 的这个帐户/网络/业务方面是全新的，所以我有点不确定问题可能是什么。我尝试根据文档进行更改，但没有成功。

查看退货中的

gcloud organizations describe organizationurl.com

，没有描绘

owner:

。使用“gcloud项目描述projectnametmpz”我收到“无权访问项目”错误。同样对于

gcloud iam service-accounts keys create file.json \
--iam-account [email protected]

ERROR: (gcloud.iam.service-accounts.keys.create) FAILED_PRECONDITION: Key creation is not allowed on this service account.

如果有人能给我一些关于如何启用正确权限的指示，我将非常感激。

我尝试在 Google 端追踪问题，并将范围缩小到 微软支持无能为力，对于谷歌云支持，需要订阅，所有文档似乎都在循环发送给我。

Answer 1

完成工作区迁移的 EOP 向导后，我遇到了同样的问题。我花了几个小时才弄清楚 8-/

使用 Workspace 超级管理员，登录 https://console.cloud.google.com。 确保您在根组织中工作。

• 选择 IAM 和管理员。
• 在左侧菜单的 IAM 中，编辑组织的权限。
• 添加组织策略管理员并保存。
• 转到左侧菜单中的组织政策。
• 搜索“禁用服务帐户密钥创建”。
• 编辑策略，将“强制执行”设置为“关闭”并保存。
• 将工作区从根组织更改为 365 向导创建的项目。我的项目名为projectnamempij。
• 在 IAM 和管理中，转到左侧菜单中的服务帐户。
• 在服务帐户旁边的 3 点菜单中，选择管理密钥。
• 在服务帐户中时，添加密钥 -> 创建新密钥。
• json 文件已创建并下载。
• 在 Exchange Online 中创建新端点并使用下载的 json

希望这有帮助。