エンドポイントの使用の制限

このページでは、企業管理者が Google Cloud リソース階層内で使用できる Google Cloud API エンドポイントを制御するための、エンドポイントの使用を制限する 組織のポリシーの制約の概要を説明します。

管理者は、この制約を使用して、グローバル エンドポイント、ロケーション エンドポイント、リージョン エンドポイントなど、許可された Google Cloud API エンドポイントに階層的な制限を定義できます。たとえば、グローバル bigquery.googleapis.com エンドポイントへのリクエストを拒否するが、ロケーション LOCATION-biguery.googleapis.com エンドポイントへのリクエストは許可するようにプロジェクトを構成できます。グローバル API エンドポイントの使用を制限して、許可されたロケーション エンドポイントまたはリージョン エンドポイントのみが使用されるようにすることで、コンプライアンス要件を満たすことができます。

エンドポイントの使用を制限する制約は拒否リストを使用して設定されます。明示的に拒否されていないサポート対象のサービスの API エンドポイントへのリクエストは許可されます。

この制約は、すべての対象リソースへのランタイム アクセスを制御します。この制約を含む組織のポリシーが更新されると、ポリシーのスコープ内のすべてのリソースに結果整合性が保たれた状態で適用されます。

管理者は、この制約を含む組織のポリシーの更新を慎重に管理することをおすすめします。たとえば、ポリシーの変更が適用される前に、既存のワークフローにどのような影響を与えるかをモニタリングするために、ドライラン モードでポリシーを設定することを検討する必要があります。

API エンドポイント タイプ

API エンドポイント（またはサービス エンドポイント）は、 Google Cloud API サービスのネットワーク アドレス（bigquery.googleapis.com など）を指定する URL です。Google Cloud サービスでは、グローバル エンドポイント、ロケーション エンドポイント、リージョン エンドポイントなど、さまざまな種類の API エンドポイントを使用してリソースにアクセスできます。各タイプのサポートはサービスによって異なります。

• グローバル API エンドポイントは、URL ホスト名で場所を指定しません。次に例を示します。

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  これらのグローバル スコープのエンドポイントは、可能な限りクライアントに近い場所で TLS セッションを終端する高可用性サービス エンドポイントを提供します。これにより、分散したクライアント群からのインターネット経由での API 呼び出しを処理する際のレイテンシを最小限に抑えることができます。

• ロケーション API エンドポイントは、URL ホスト名で場所を指定します。次に例を示します。

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  これらのロケーション エンドポイントは、ロケーション固有のサービスを使用する必要があり、プライベート接続を介してアクセスされる場合に転送中のデータが特定のロケーションに保持されるようにする必要があるお客様にとって最も有益です。

• リージョン API エンドポイントは、ロケーションをサブドメインとして指定します。次に例を示します。

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  これらのリージョン エンドポイントは、ロケーション固有のサービスを使用する必要があり、プライベート接続または公共のインターネット経由でアクセスされる場合に転送中のデータが特定のロケーションに保持されるようにしたいと考えるお客様にとって最も有益です。

制限事項

エンドポイントの使用を制限する制約は、特定の API エンドポイントを使用してリソースにアクセスする機能を制御します。以下のような、その他の類似の制約と混同しないようにしてください。

• リソース ロケーションの制約。リソースを作成できる場所と作成できない場所を制御します。
• リソース サービスの使用を制限する制約。使用できるリソース サービスを制御します。

稼働中の既存のインフラストラクチャの破損を防ぐには、本番環境以外のプロジェクトとフォルダで新しい組織のポリシーをテストしてから、組織内で段階的にポリシーを適用してください。

この制約は、プロダクトとリソースタイプの特定のサブセットに適用されます。サポートされているサービスと各サービスの動作の詳細については、サポートされている API エンドポイントのセクションをご覧ください。

データ保存コミットメントについては、Google Cloud 利用規約とサービス固有の規約をご覧ください。エンドポイントの使用を制限する制約を含む組織のポリシーは、データ所在地のコミットメントではありません。

組織ポリシーの設定

組織ポリシーの設定、変更、削除を行うには、組織ポリシー管理者の役割が必要です。

組織のポリシーの制約は、組織レベル、フォルダレベル、プロジェクト レベルで設定できます。各ポリシーは、対応するリソース階層内のすべてのリソースに適用されますが、リソース階層の下位レベルでオーバーライドできます。

ポリシー評価の詳細については、階層評価を理解するをご覧ください。

エンドポイントの使用を制限する制約は、リスト型制約の一種です。制約の denied_values リストでエンドポイントを追加または削除できます。

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

拒否された API エンドポイントへのリクエストがリソースにアクセスしようとすると、リクエストは失敗し、失敗の理由を説明するエラーが返されます。

ドライラン モードで組織のポリシーを作成する

ドライラン モードの組織のポリシーは、ポリシーの違反が監査ログに記録されながら違反アクションは拒否されないタイプの組織のポリシーです。エンドポイントの使用を制限する制約を使用して、ドライラン モードで組織のポリシーを作成して、それが組織にどう影響するかを、ライブのポリシーを適用する前にモニタリングできます。詳細については、ドライラン モードで組織のポリシーを作成するをご覧ください。

エラー メッセージ

エンドポイントを拒否するように組織のポリシーを設定すると、リソース階層内でそのエンドポイントを使用するオペレーションは失敗します。失敗の理由を説明するエラーが返されます。また、詳細なモニタリング、アラート、デバッグ用に監査ログエントリが生成されます。

エラー メッセージの例

次の例では、API エンドポイント storage.googleapis.com を使用した curl リクエストが、ポリシーの適用が原因で失敗します。

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

監査ログエントリの例

次の監査ログエントリの例は、リソースへのアクセスが拒否された場合を示しています。

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

サポートされている API エンドポイント

エンドポイントの使用を制限する制約では、次の API エンドポイントがサポートされます。

値グループ

値グループは、エンドポイントの制限を簡単に定義できるようにするために Google によってキュレートされた、グループと API エンドポイントからなるコレクションです。値グループには多数の関連する API エンドポイントが含まれており、時間の経過とともに Google によって拡張されるので、新しいエンドポイントに対応するように組織のポリシーを変更する必要はありません。

組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加します。値接頭辞の使用方法については、制約の使用をご覧ください。 組織のポリシーを設定するための呼び出しで、グループ名が検証されます。無効なグループ名を使用すると、ポリシー設定が失敗します。

次の表に、現時点で使用可能なグループのリストを示します。