您可以對 Google Workspace 或 Cloud Identity 超級管理員帳戶套用建議做法，安全地設定及管理 Google Cloud機構資源。保護這些高權限帳戶，即可強制執行權限區隔，並防止未經授權存取組織。
帳戶類型
Google Workspace 超級管理員帳戶具備一組管理功能，包括 Cloud Identity。這提供了一組身分管理控制項，可用於所有 Google 服務，例如文件、試算表、 Google Cloud等。
Cloud Identity 帳戶僅提供驗證和身分管理功能，與 Google Workspace 無關。
指定組織管理員
取得新的組織資源後，請指定一或多位組織管理員。這個角色具備較少的權限，專門用於管理組織的日常營運。
您也應該在 Google Workspace 或 Cloud Identity 超級管理員帳戶中，建立私人 Google Cloud 管理員群組。請將組織管理員使用者加入這個群組，但不要加入超級管理員使用者。將組織管理員 Identity and Access Management (IAM) 角色或該角色的部分權限授予這個群組。
建議您將超級管理員帳戶與組織管理員群組分開。超級管理員可以將組織管理員角色授予最適合管理組織資源及其內容的使用者。
如要瞭解如何使用允許政策管理組織資源的存取控管，請參閱「使用 IAM 控管組織資源的存取權」。
設定適當角色
Google Workspace 和 Cloud Identity 的管理員角色權限不如超級管理員角色。建議您遵循最小權限原則，只授予使用者管理使用者和群組所需的最低權限。
減少使用超級管理員帳戶
Google Workspace 和 Cloud Identity 超級管理員帳戶擁有一組強大的權限，但日常管理組織時不需要使用這些權限。您應該採取保護超級管理員帳戶的政策，減少使用者嘗試將此用於日常作業的機會，例如：
在您的超級管理員帳戶及所有具有進階權限的帳戶上強制執行多重驗證。
使用安全金鑰或其他實體裝置強制執行兩步驟驗證。
對於初始的超級管理員帳戶，請確保將安全金鑰存放在安全的地點，最好是保存在您的實際位置。
為超級管理員提供一個需要另外登入的單獨帳戶。例如，使用者 alice@example.com 可以擁有超級管理員帳戶 alice-admin@example.com。
- 如果要與第三方身分協定同步，請確保將相同的停權政策套用於 Cloud Identity 和對應的第三方身分。
如果您有 Google Workspace 企業版或商務版帳戶，或 Cloud Identity 進階版帳戶，可以為任何超級管理員帳戶強制設定短暫登入期限。
請遵循管理員帳戶安全性最佳做法模式中的指引。
API 呼叫提醒
使用 Google Cloud Observability 設定快訊，在發出 SetIamPolicy() API 呼叫時通知您。只要有人修改任何允許政策，系統就會傳送快訊。
帳戶救援流程
確保組織管理員熟悉超級管理員帳戶救援程序。如果超級管理員憑證遺失或遭盜用，這項程序可協助您復原帳戶。
多項組織資源
我們建議使用資料夾來管理機構中您想要單獨管理的部分。如要改用多個組織資源，則需要多個 Google Workspace 或 Cloud Identity 帳戶。如要瞭解使用多個 Google Workspace 和 Cloud Identity 的影響，請參閱「管理多項組織資源」。