限制端点用量

本页面简要介绍了限制端点用量 组织政策限制条件，这项政策允许企业管理员控制可以在其资源层次结构中使用哪些 API 端点。 Google Cloud Google Cloud

管理员可以使用此限制条件来定义对允许的 Google Cloud API 端点（例如全球、位置或区域端点）的分层限制。例如，您可以将项目配置为拒绝对全局 bigquery.googleapis.com 端点的请求，但允许对位置 LOCATION-biguery.googleapis.com 端点的请求。通过限制全球 API 端点的使用，组织可以确保仅使用允许的位置性或区域性端点，从而满足合规性要求。

“限制端点使用”限制条件是使用拒绝名单设置的，允许对任何未被明确拒绝的受支持服务的 API 端点发出请求。

此限制条件会控制对所有范围内资源的运行时访问权限。包含此约束条件的组织政策更新后，该约束条件会立即应用于该政策范围内的所有资源，最终会保持一致。

我们建议管理员谨慎管理包含此约束条件的组织政策的更新。例如，您应考虑在试运行模式下设置政策，以便在政策生效之前监控政策更改对现有工作流的影响。

API 端点类型

API 端点（或服务端点）是指定 API 服务（例如 bigquery.googleapis.com）的网络地址的网址。 Google Cloud Google Cloud 服务允许使用不同类型的 API 端点（包括全球端点、位置端点和区域端点）访问资源。对每种类型的支持取决于服务。

• 全球 API 端点不会在网址主机名中指定位置。例如：

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  这些全局范围的端点提供高可用性服务端点，可尽可能在靠近客户端的位置终止 TLS 会话，从而最大限度地缩短通过互联网处理来自分散客户端群体的 API 调用的延迟时间。

• 位置型 API 端点会在网址主机名中指定位置。例如：

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  这些位置端点对需要使用特定于位置的服务且希望确保传输中的数据在通过专用连接访问时仍保留在特定位置的客户而言非常有用。

• 区域性 API 端点将位置指定为子网域。例如：

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  对于需要使用特定于位置的服务且希望确保在通过专用连接或公共互联网访问时，传输中的数据会保留在特定位置的客户，这些区域性端点最有益。

限制

“限制端点用量”约束条件用于控制是否可以使用特定 API 端点访问您的资源。请勿将其与其他类似约束条件混淆，例如：

• “限制资源位置”限制条件，用于控制可以或不可以创建资源的位置。
• “限制资源服务使用”限制条件，用于控制可使用的资源服务。

为了避免破坏现有的服务基础架构，您应该先在非生产项目和文件夹中测试任何新的组织政策，然后再将该政策逐步应用于整个组织。

此限制适用于一部分特定的产品和资源类型。如需获取支持的服务列表以及每项服务的行为详细信息，请参阅支持的 API 端点部分。

如需了解数据存储承诺，请参阅 Google Cloud 服务条款和服务专用条款。包含“限制端点用量”限制条件的组织政策不是数据驻留承诺。

设置组织政策

要设置、更改或删除组织政策，您必须拥有组织政策管理员角色。

组织政策限制条件可以在组织、文件夹和项目级层进行设置。每项政策都适用于其相应资源层次结构中的所有资源，但可能会在该资源层次结构的较低级层被替换。

如需详细了解政策评估，请参阅了解层次结构评估。

“限制端点用量”限制条件是一种列表限制条件。您可以通过限制条件的 denied_values 列表添加和移除端点。

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

如果针对被拒绝的 API 端点的请求尝试访问资源，该请求将会失败，并且系统会返回错误消息，说明失败的原因。

在试运行模式下创建组织政策

处于试运行模式的组织政策是一种组织政策，其中违反政策的行为会记录在审核日志中，但系统不会拒绝违规操作。您可以在试运行模式下使用限制端点用量限制条件创建组织政策，以便在强制执行实际政策之前监控该政策对组织的影响。如需了解详情，请参阅在试运行模式下创建组织政策。

错误消息

如果您设置了一项组织政策来拒绝某个端点，则在资源层次结构中使用该端点的操作将会失败。系统会返回错误消息，说明失败的原因，此外还会生成一个审核日志条目以进一步监控、提醒或调试。

错误消息示例

在以下示例中，使用 API 端点 storage.googleapis.com 的 curl 请求因违反政策而失败：

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.endpointUsageRestriction organization policy constraint. To
access this resource, please use an allowed endpoint.

审核日志条目示例

以下审核日志条目示例展示了何时会被拒绝访问资源：

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

支持的 API 端点

“限制端点用量”约束条件支持以下 API 端点：

值组

值组是由 Google 精心挑选的组和 API 端点的集合，可让您更轻松地定义端点限制。值组包含许多相关 API 端点。Google 会不断扩充值组，您无需更改组织政策即可适应新的端点。

如需在组织政策中使用值组，请在您的条目前面添加 in: 字符串作为前缀。如需详细了解如何使用值前缀，请参阅使用限制条件。调用以设置组织政策时，系统会验证组名称。使用无效的群组名称会导致政策设置失败。

下表包含最新的可用组列表：