您可以将推荐做法应用于 Google Workspace 或 Cloud Identity 超级管理员账号，从而安全地配置和管理 Google Cloud组织资源。保护这些高权限账号后，您便可强制执行权限分离，并保护组织免遭未经授权的访问。
账号类型
Google Workspace 超级用户账号具有一组管理功能，其中包括 Cloud Identity。这提供了一组身份管理控制，可用于所有 Google 服务，例如文档、表格、 Google Cloud等。
Cloud Identity 账号仅提供身份验证和身份管理功能，独立于 Google Workspace。
指定组织管理员
获取新的组织资源后，您需要指定一个或多个组织管理员。该角色拥有一组较少的权限，旨在管理您的日常组织操作。
您还应在 Google Workspace 或 Cloud Identity 超级用户账号中创建一个私有 Google Cloud 管理员群组。将 Organization Administrator 用户（而非超级用户）添加到此群组。向此群组授予 Organization Administrator Identity and Access Management (IAM) 角色或该角色权限的有限子集。
我们建议您将超级用户账号与 Organization Administrator 群组分开。作为超级用户，您可以向最适合管理组织资源及其内容的用户授予 Organization Administrator 角色。
如需了解如何使用允许政策管理组织资源的访问权限控制，请参阅使用 IAM 对组织资源进行访问权限控制。
设置适当的角色
Google Workspace 和 Cloud Identity 具有权限不如超级用户角色高的管理员角色。我们建议您遵循最小权限原则，仅向用户授予管理用户和群组所需的最小权限集。
不建议使用超级用户账号
Google Workspace 和 Cloud Identity 超级用户账号拥有一组强大的权限，日常组织管理并不需要使用这些权限。您应该实施一些政策来保护您的超级用户账号，尽量避免用户尝试使用这些账号进行日常操作，例如：
对超级用户账号以及拥有更高权限的所有账号强制执行多重身份验证。
使用安全密钥或其他物理身份验证设备来强制执行两步验证。
对于初始超级用户账号，请确保安全密钥保存在安全的位置，最好是保存在您的工作地点。
为超级用户提供需要单独登录的单独账号。例如，用户 alice@example.com 可以拥有超级用户账号 alice-admin@example.com。
- 如果您要与第三方身份协议同步，请确保对 Cloud Identity 和对应的第三方身份应用相同的中止政策。
如果您拥有 Google Workspace 企业版或商务版账号，或者拥有 Cloud Identity 专业版账号，则可以对任何超级用户账号实施短登录期机制。
遵循管理员账号的安全最佳实践模式中的指南。
API 调用提醒
使用 Google Cloud Observability 设置提醒，以便在进行 SetIamPolicy() API 调用时通知您。当有人修改任何允许政策时，系统会发送提醒。
账号恢复流程
确保组织管理员熟悉超级用户账号恢复流程。如果超级用户凭据丢失或被盗用，该流程可帮助您恢复账号。
多个组织资源
我们建议使用文件夹来管理组织中要单独管理的部分。如果您希望使用多个组织资源，您将需要多个 Google Workspace 或 Cloud Identity 账号。如需了解使用多个 Google Workspace 和 Cloud Identity 的影响，请参阅管理多个组织资源。