Organization Administrator + Billing Account Administrator

Detalhe da regra SoD — cinco plataformas, três provedores

CriticalGCP IAM

Organization Administrator + Billing Account Administrator

Criar projetos e vinculá-los a uma conta de faturamento — despesa aprovada por quem a cria.

GCP IAMpredefined role
Organization Administrator
GCP IAMpredefined role
Billing Account Administrator

Por que isso é um conflito

O Google separa a hierarquia de recursos da conta de faturamento justamente para que criar um projeto e fazê-lo gerar despesa sejam decisões de pessoas diferentes — é por isso que vincular projeto a billing account exige permissão nos dois lados. Organization Administrator administra a hierarquia inteira; Billing Account Administrator administra a conta que paga. Acumuladas, o freio financeiro deixa de existir.

Risco

Projetos criados e faturados sem passar por nenhuma aprovação — e, no limite, um projeto fora da hierarquia governada, com as organization policies não aplicadas.

Como mitigar

  • Manter a administração de faturamento numa equipe financeira, separada da administração da organização.
  • Usar Project Creator com escopo de pasta em vez de Organization Administrator para criação rotineira.
  • Definir budgets com alerta por pasta e revisar projetos novos no fechamento mensal.
  • Alertar sobre UpdateProjectBillingInfo e sobre criação de projeto fora das pastas aprovadas.

Frameworks aplicáveis

SOXISO 27001