開発チームは Google Cloud Console へのアクセスに個人の Google アカウントを使用しています。社内の IT ポリシーにより、会社のドメイン（example.com）のアカウントのみでアクセスを制限したいと考えています。最も適切な方法はどれですか？
- A. Cloud Identity を使って個人アカウントを会社アカウントへ移行する
- B. 組織ポリシーの iam.allowedPolicyMemberDomains 制約を設定する
- C. VPC Service Controls でコンソールアクセスを制限する
- D. 各プロジェクトで IAM ポリシーを手動で更新し、個人アカウントを削除する
解答と解説を見る
正解: B
組織ポリシーの iam.allowedPolicyMemberDomains 制約（旧 constraints/iam.allowedPolicyMemberDomains）を設定することで、特定のドメインのアカウントのみに IAM バインディングを許可し、組織全体に一括適用できます。IAM ポリシーの手動更新は数が多くなると管理が困難で、新しいプロジェクト追加のたびに対応が必要です。Cloud Identity への移行は中長期的には有効ですが、アクセス制限そのものの即時手段ではありません。VPC Service Controls はサービス境界によるデータ保護が目的であり、コンソールログインのドメイン制限には使用しません。