機構網路政策會定義機構層級代管服務的網路存取權控管，這些服務會透過 Google Distributed Cloud (GDC) Air-gapped 曝光。您可以使用 Networking API 的 OrganizationNetworkPolicy 資源定義這些存取控制項。
如要取得設定機構網路政策所需的權限，請要求機構身分與存取權管理 (IAM) 管理員授予您機構網路政策管理員 (org-network-policy-admin) 角色。
您可以定義機構網路政策，控管下列 GDC 管理服務的存取權：
- 所有服務
- GDC 控制台
- Distributed Cloud CLI
- 全球 API 伺服器
- 金鑰管理系統 (KMS)
- 物件儲存空間
- Vertex AI
- 政策支援的 Vertex AI 服務包括：光學字元辨識 API、Speech-to-Text API、Translation API 和 Workbench。
預設政策
根據預設，下列 GDC 代管服務會遵循下列原則：
| GDC 服務 | 原則 |
|---|---|
| 所有服務 | allow-all |
| GDC 控制台 | allow-all |
| gdcloud CLI | allow-all |
| 全球 API 伺服器 | deny-by-default |
| KMS | deny-by-default |
| 物件儲存空間 | deny-by-default |
| Vertex AI 和支援的服務 | deny-by-default |
機構網路政策範例
以下是 OrganizationNetworkPolicy 資源的範例，可讓來自 IP 位址的流量存取 GDC 管理的服務。
kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
name: POLICY_NAME
namespace: platform
spec:
subject:
services:
matchTypes:
- "SERVICE_NAME"
ingress:
- from:
- ipBlock:
cidr: IP_ADDRESS
- ipBlock:
cidr: IP_ADDRESS
EOF
請替換下列變數：
| 變數 | 說明 |
|---|---|
| MANAGEMENT_API_SERVER | 區域 API 伺服器的 kubeconfig 路徑。如果您尚未在目標區域中為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一節瞭解詳情。 |
| POLICY_NAME | 政策的名稱。 舉例來說， allow-ui-access。 |
| SERVICE_NAME | 要套用政策的服務名稱。針對各項服務使用下列值：
|
| IP_ADDRESS | 允許存取的 IP 位址。例如，10.251.0.0/24。您也可以為每個 IP 位址定義多個 ipBlock 欄位，藉此新增多個 IP 位址。 |