Benutzerdefinierte Organisationsrichtlinien verwenden

Mit der Google Cloud-Organisationsrichtlinie können Sie die Ressourcen Ihrer Organisation zentral steuern. Als Administrator für Organisationsrichtlinien können Sie Folgendes definieren: Organisationsrichtlinie, wobei es sich um eine Reihe von Einschränkungen handelt, die für Google Cloud-Ressourcen und untergeordnete Elemente dieser Ressourcen in der Google Cloud-Ressourcenhierarchie gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet vordefinierte Einschränkungen für verschiedene Google Cloud-Dienste. Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien eingeschränkt werden, können Sie auch benutzerdefinierte Organisationsrichtlinien erstellen.

Vorteile

Sie können benutzerdefinierte Organisationsrichtlinien verwenden, die auf IAM-Attribute verweisen, um zu steuern, wie Ihre „Zulassen“-Richtlinien geändert werden können. Sie können Folgendes steuern:

• Wer kann Rollen erhalten?
• Wer kann seine Rollen widerrufen lassen?
• Welche Rollen können gewährt werden?
• Welche Rollen können widerrufen werden

So können Sie beispielsweise verhindern, dass Rollen, die das Wort admin enthalten, Hauptkonten zugewiesen werden, deren E-Mail-Adressen auf @gmail.com enden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Evaluierung der Hierarchie.

Preise

Der Organisationsrichtliniendienst, einschließlich vordefinierter und benutzerdefinierter Organisationsrichtlinien, wird kostenlos angeboten.

Beschränkungen

Benutzerdefinierte Organisationsrichtlinien im Testmodus, die auf IAM-Attribute verweisen, unterliegen einigen Einschränkungen. In Audit-Logs für Verstöße im Zusammenhang mit der setiamPolicy-Methode fehlen möglicherweise die folgenden Felder:

• resourceName
• serviceName
• methodName

Hinweise

• Sie müssen Ihre Organisations-ID kennen.

• Wenn Sie benutzerdefinierte Organisationsrichtlinien testen möchten, die auf IAM-Ressourcen verweisen, erstellen Sie ein neues Projekt. Das Testen dieser Organisationsrichtlinien in einem vorhandenen Projekt kann die Sicherheitsabläufe beeinträchtigen.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation
• Ändern Sie die IAM-Richtlinie Ihres Projekts: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Einschränkung erstellen

Eine benutzerdefinierte Einschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Einschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Einschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Einschränkungen erstellen und verwalten.

So erstellen Sie eine YAML-Datei für eine benutzerdefinierte Einschränkung:

name: organizations/ORG_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  METHOD_TYPE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ersetzen Sie dabei Folgendes:

• ORG_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Einschränkung verwenden möchten. Eine benutzerdefinierte Einschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten, z. B. custom.denyProjectIAMAdmin. Die maximale Länge dieses Feldes beträgt 70 Zeichen, das Präfix wird nicht gezählt (z. B. organizations/123456789/customConstraints/custom).

• METHOD_TYPE: Die Art der Aktion, auf die die Einschränkung angewendet werden soll. Wenn die Einschränkung angewendet werden soll, wenn jemand versucht, einem Hauptkonto eine Rolle zu gewähren, verwenden Sie die folgenden Werte:

  - CREATE
  - UPDATE
  

  Wenn die Einschränkung angewendet werden soll, wenn jemand versucht, die Rolle eines Hauptkontos zu widerrufen, verwenden Sie den folgenden Wert:

  - REMOVE_GRANT
  

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1000 Zeichen. Weitere Informationen zu den verfügbaren Attributen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Attribute. Beispiel: resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Dies kann entweder ALLOW oder DENY sein.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Einschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Optional. Eine nutzerfreundliche Beschreibung der Einschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird Dieses Feld hat eine maximale Länge von 2000 Zeichen.

Weitere Informationen zum Erstellen einer benutzerdefinierten Einschränkung finden Sie unter Benutzerdefinierte Einschränkungen definieren.

Benutzerdefinierte Einschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Benutzerdefinierte Organisationsrichtlinie testen

Optional können Sie die Organisationsrichtlinie testen, indem Sie sie festlegen und dann versuchen, eine Aktion auszuführen, die durch die Richtlinie verhindert werden soll.

In diesem Abschnitt wird beschrieben, wie Sie die folgende Einschränkung für die Organisationsrichtlinie testen:

name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
    )
  )"
actionType: DENY
displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.

So testen Sie diese benutzerdefinierte Einschränkung:

• Kopieren Sie die Einschränkung in eine YAML-Datei und ersetzen Sie die folgenden Werte:

  • ORG_ID: die numerische ID Ihrer Google Cloud-Organisation.
  • MEMBER_EMAIL_ADDRESS: die E-Mail-Adresse des Hauptkontos, mit dem Sie die benutzerdefinierte Einschränkung testen möchten. Solange die Einschränkung aktiv ist, kann diesem Hauptkonto die Rolle „Projekt-IAM-Administrator“ (roles/resourcemanager.projectIamAdmin) für das Projekt nicht gewährt werden, für das Sie die Einschränkung erzwingen.

• Richten Sie die benutzerdefinierte Einschränkung ein und erzwingen Sie sie für das von Ihnen erstellte Projekt, um die benutzerdefinierte Einschränkung der Organisationsrichtlinie zu testen.

• Versuchen Sie, dem Hauptkonto, dessen E-Mail-Adresse Sie in die benutzerdefinierte Einschränkung aufgenommen haben, die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) zuzuweisen. Ersetzen Sie vor dem Ausführen des Befehls folgende Werte:

  • PROJECT_ID: Die ID des Google Cloud-Projekts, in dem Sie die Einschränkung erzwungen haben
  • EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, die Sie beim Erstellen der Einschränkung der Organisationsrichtlinie angegeben haben.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Die Ausgabe sieht so aus:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Von der Identitäts- und Zugriffsverwaltung unterstützte Attribute

IAM unterstützt das resources.bindings-Attribut. Dieses Attribut wird für alle Methoden zurückgegeben, die die Zulassungsrichtlinie einer Ressource ändern. Alle diese Methoden enden mit setIamPolicy.

Das Attribut resource.bindings hat die folgende Struktur. Dabei ist BINDINGS ein Array von Rollenbindungen, die bei einer Änderung an einer Zulassungsrichtlinie geändert wurden:

{
  "bindings": {
    BINDINGS
  }
}

Jede Bindung in resource.bindings hat die folgende Struktur. Dabei ist ROLE der Name der Rolle in der Rollenbindung und MEMBERS eine Liste der IDs der Hauptkonten, die der Rollenbindung hinzugefügt oder daraus entfernt wurden:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Informationen zu den Formaten für Hauptkonto-IDs finden Sie unter Hauptkonto-Kennungen.

Sie können das Attribut resource.bindings und seine Felder nur mit den unterstützten Funktionen auswerten. Andere Operatoren und Funktionen wie ==, !=, in, contains, startsWith und endsWith werden nicht unterstützt.

Unterstützte Funktionen

Mit den folgenden CEL-Funktionen können Sie die Felder role und members von binding-Ressourcen auswerten. Wenn Sie diese Funktionen verwenden, können Sie auch die logischen Operatoren && (and) und || (or) verwenden, um mehrteilige Bedingungen zu schreiben.

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie die Syntax einiger benutzerdefinierter Organisationsrichtlinien, die für Sie nützlich sein könnten.

In den folgenden Beispielen werden die CEL-Makros all und exists verwendet. Weitere Informationen zu diesen Makros finden Sie unter Makros.

name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted

name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked

name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2

name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP

name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers

Nächste Schritte

• Weitere Informationen zu Organisationsrichtlinien finden Sie unter Einführung in den Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten
• Eine vollständige Liste der vordefinierten Einschränkungen für Organisationsrichtlinien finden Sie hier.