Menggunakan kebijakan organisasi kustom untuk kebijakan izin

Halaman ini menunjukkan cara menggunakan batasan kustom Layanan Kebijakan Organisasi untuk membatasi operasi tertentu pada resource berikut: Google Cloud

• iam.googleapis.com/AllowPolicy

Untuk mempelajari lebih lanjut Kebijakan Organisasi, lihat Kebijakan organisasi kustom.

Tentang batasan dan kebijakan organisasi

Google Cloud Layanan Kebijakan Organisasi memberi Anda kontrol terpusat dan terprogram atas resource organisasi. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk Google Cloud resource dan turunan dari resource tersebut dalam Google Cloud hierarki resource. Anda dapat menerapkan kebijakan organisasi di tingkat organisasi, folder, atau project.

Kebijakan Organisasi menyediakan batasan terkelola bawaan untuk berbagai layanan Google Cloud . Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat batasan khusus dan menggunakan batasan khusus tersebut dalam kebijakan organisasi.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari lebih lanjut perilaku ini dan cara mengubahnya, lihat Aturan evaluasi hierarki.

Manfaat

Anda dapat menggunakan kebijakan organisasi kustom yang mereferensikan atribut IAM untuk mengontrol cara kebijakan izin Anda dapat diubah. Secara khusus, Anda dapat mengontrol hal berikut:

• Siapa yang dapat diberi peran
• Siapa yang dapat dicabut perannya
• Peran yang dapat diberikan
• Peran yang dapat dicabut

Misalnya, Anda dapat mencegah peran yang berisi kata admin diberikan kepada akun utama yang alamat emailnya diakhiri dengan @gmail.com.

Batasan

• Kebijakan organisasi kustom dalam mode uji coba yang mereferensikan atribut IAM memiliki beberapa batasan. Yaitu, log audit untuk pelanggaran yang melibatkan metode setIamPolicy mungkin tidak memiliki kolom berikut:

  • resourceName
  • serviceName
  • methodName

• Log audit tidak dibuat untuk semua pelanggaran kebijakan organisasi kustom terkait IAM. Yaitu, jika kebijakan organisasi kustom menyebabkan operasi setIamPolicy pada resource organisasi gagal, maka Google Cloud tidak menghasilkan log audit untuk peristiwa tersebut.

• Kebijakan organisasi kustom yang mereferensikan atribut IAM tidak memengaruhi hal berikut:

  • Pemberian default menurut ACL Cloud Storage.
  • Pemberian peran otomatis untuk nilai kemudahan Cloud Storage dan akses set data default BigQuery.
  • Peran yang diberikan oleh kebijakan izin default—misalnya, pembuat project secara otomatis diberi peran Pemilik (roles/owner) di project tersebut.

• Pengguna dapat dikirimi undangan untuk menjadi pemilik, meskipun Anda memiliki kebijakan organisasi kustom yang mencegah pemberian peran Pemilik (roles/owner). Namun, meskipun kebijakan organisasi kustom tidak mencegah pengiriman undangan, kebijakan ini mencegah pengguna yang diundang diberi peran Pemilik. Jika pengguna yang diundang mencoba menerima undangan, mereka akan mengalami error dan tidak akan diberi peran Pemilik.

• Beberapa tindakan di Google Cloud, seperti membuat resource atau mengaktifkan API, melibatkan pemberian peran secara otomatis kepada agen layanan atau akun layanan default. Jika suatu tindakan melibatkan pemberian peran secara otomatis dan kebijakan organisasi mencegah peran tersebut diberikan, maka seluruh operasi dapat gagal.

  Jika mengalami masalah ini, Anda dapat menggunakan tag untuk menonaktifkan sementara batasan yang mencegah pemberian peran. Kemudian, lakukan tindakan. Setelah tindakan selesai, aktifkan kembali batasan.

Sebelum memulai

• Jika Anda ingin menguji kebijakan organisasi kustom yang mereferensikan resource IAM, buat project baru. Menguji kebijakan organisasi ini di project yang ada dapat mengganggu alur kerja keamanan.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk mengelola kebijakan organisasi, minta administrator Anda untuk memberi Anda peran IAM berikut:

• Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi
• Uji kebijakan organisasi yang dijelaskan di halaman ini: Admin IAM Project (roles/resourcemanager.projectIamAdmin) pada project tersebut

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk mengelola kebijakan organisasi. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat batasan khusus

Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membangun kondisi dalam batasan khusus menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

Untuk membuat batasan khusus, buat file YAML menggunakan format berikut:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ganti kode berikut:

• ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.

• CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus diawali dengan custom., dan hanya boleh menyertakan huruf besar, huruf kecil, atau angka. Contohnya, custom.denyProjectIAMAdmin. Panjang maksimum kolom ini adalah 70 karakter.

• RESOURCE_NAME: nama lengkap Google Cloud resource yang berisi objek dan kolom yang ingin Anda batasi. Misalnya, iam.googleapis.com/AllowPolicy.

• CONDITION: kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini memiliki panjang maksimal 1.000 karakter. Lihat Resource yang didukung untuk mengetahui informasi selengkapnya tentang resource yang tersedia untuk menulis kondisi. Contoh, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']))

• ACTION: tindakan yang akan diambil jika condition terpenuhi. Nilai yang mungkin adalah ALLOW dan DENY.

• DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.

• DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2.000 karakter.

Untuk mengetahui informasi selengkapnya tentang cara membuat batasan kustom, lihat Menentukan batasan kustom.

Menyiapkan batasan kustom

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Menerapkan kebijakan organisasi kustom

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Menguji kebijakan organisasi kustom

Secara opsional, Anda dapat menguji kebijakan organisasi dengan menetapkan kebijakan, lalu mencoba melakukan tindakan yang seharusnya dicegah oleh kebijakan tersebut.

Membuat batasan

1. Simpan file berikut sebagai constraint-deny-project-iam-admin.

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ganti nilai berikut:

   • ORG_ID: ID numerik organisasi Google Cloud Anda.
   • MEMBER_EMAIL_ADDRESS: alamat email principal yang ingin Anda gunakan untuk menguji batasan kustom. Selama batasan aktif, akun utama ini tidak akan dapat diberi peran Admin IAM Project (roles/resourcemanager.projectIamAdmin) di project tempat Anda menerapkan batasan.

2. Terapkan batasan:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Pastikan batasan ada:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Membuat kebijakan

1. Simpan file berikut sebagai policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ganti PROJECT_ID dengan project ID Anda.

2. Terapkan kebijakan:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Pastikan kebijakan ada:

   gcloud org-policies list --project=PROJECT_ID
   

Setelah Anda menerapkan kebijakan, tunggu sekitar dua menit hingga Google Cloud mulai menerapkan kebijakan tersebut.

Menguji kebijakan

Coba berikan peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) kepada akun utama yang alamat emailnya Anda sertakan dalam batasan kustom. Sebelum menjalankan perintah, ganti nilai berikut:

• PROJECT_ID: ID project Google Cloud tempat Anda menerapkan batasan
• EMAIL_ADDRESS: Alamat email prinsipal yang Anda tentukan saat membuat batasan kebijakan organisasi.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Outputnya adalah sebagai berikut:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Contoh kebijakan organisasi kustom untuk kasus penggunaan umum

Tabel berikut memberikan sintaksis beberapa batasan khusus untuk kasus penggunaan umum.

Contoh berikut menggunakan makro CEL all dan exists. Untuk mengetahui informasi selengkapnya tentang makro ini, lihat Makro untuk mengevaluasi daftar.

name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted

name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked

name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2

name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP

name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers

name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
    )
  )"
actionType: ALLOW
displayName: Only allow organization members to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount'])
    )
  )"
actionType: ALLOW
displayName: Only allow service accounts to be granted roles

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfGoogleManagedServiceAgents
resource_types: iam.googleapis.com/AllowPolicy
method_types:
  - REMOVE_GRANT
condition: |-
  resource.bindings.all(
      binding,
      binding.members.all(member,
        MemberTypeMatches(member, ['iam.googleapis.com/ServiceAgent'])
      )
    )
action_type: DENY
display_name: Deny Removal Of Google-Managed Service Agents
description: Restricts the removal of Google-managed service agents from role bindings. Please reach out to your organization admins for if you have any questions.

Kebijakan organisasi bersyarat

Anda dapat membuat kebijakan organisasi kustom bersyarat menggunakan tag. Misalnya, Anda menulis batasan kustom berikut untuk mencegah pemberian peran yang diawali dengan roles/storage.:

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

Untuk menerapkan batasan secara bersyarat, Anda dapat membuat kebijakan organisasi seperti berikut:

name: organizations/ORG_ID/policies/custom.dontgrantStorageRoles
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORG_ID/environment', 'dev')"
    enforce: true
  - enforce: false

Kebijakan organisasi ini mencegah peran yang dimulai dengan roles/storage. diberikan pada resource yang juga memiliki tag environment=dev.

Resource yang didukung Identity and Access Management

IAM mendukung resource AllowPolicy. Resource ini memiliki atribut resources.bindings, yang ditampilkan untuk semua metode yang mengubah kebijakan izinkan resource. Semua metode yang mengubah kebijakan izin resource diakhiri dengan setIamPolicy.

Atribut resource.bindings memiliki struktur berikut, dengan BINDINGS adalah array binding peran yang diubah selama perubahan pada kebijakan izin:

{
  "bindings": {
    BINDINGS
  }
}

Setiap binding di resource.bindings memiliki struktur berikut, dengan ROLE adalah nama peran dalam binding peran dan MEMBERS adalah daftar ID untuk semua akun utama yang ditambahkan ke atau dihapus dari binding peran:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Untuk melihat format yang dapat dimiliki ID utama, lihat ID utama.

Anda hanya dapat mengevaluasi atribut resource.bindings dan kolomnya menggunakan fungsi yang didukung. Operator dan fungsi lainnya—seperti ==, !=, in, contains, startsWith, dan endsWith—tidak didukung.

Fungsi yang didukung

Anda dapat menggunakan fungsi CEL berikut untuk mengevaluasi setiap peran dan anggota dalam binding.

Untuk mengevaluasi semua binding dalam array bindings atau semua anggota dalam array members, gunakan makro all dan exists. Untuk mengetahui informasi selengkapnya, lihat Makro untuk mengevaluasi daftar di halaman ini.

Anda juga dapat menggunakan operator logika && (and) dan || (or) untuk menulis kondisi multi-bagian.

Makro untuk mengevaluasi daftar

Gunakan makro all dan exists untuk mengevaluasi ekspresi kondisi untuk daftar item.

Kondisi dengan daftar bertingkat

Secara umum, jika kondisi Anda menyertakan daftar bertingkat, Anda harus menggunakan makro yang sama untuk semua daftar dalam kondisi tersebut.

Perhatikan contoh berikut:

• Jika kebijakan Anda memiliki actionType ALLOW, gunakan makro all untuk daftar members dan daftar bindings guna memastikan bahwa modifikasi kebijakan hanya diizinkan jika semua anggota dalam semua binding yang dimodifikasi memenuhi kondisi.
• Jika kebijakan Anda memiliki actionType DENY, gunakan makro exists untuk daftar members dan daftar bindings guna memastikan bahwa modifikasi kebijakan tidak diizinkan jika salah satu anggota dalam salah satu binding yang dimodifikasi memenuhi kondisi.

Mencampur makro dalam satu kondisi dapat menghasilkan kondisi yang tidak berperilaku seperti yang Anda inginkan.

Misalnya, bayangkan Anda ingin mencegah pemberian peran kepada anggota di luar organisasi example.com. Organisasi example.com memiliki ID 123456789012.

Untuk mencapai tujuan ini, Anda menulis kondisi berikut:

Tidak direkomendasikan — kondisi salah dikonfigurasi

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Kondisi ini tampaknya mencegah pemberian peran kepada anggota di luar organisasi example.com. Namun, kondisi dievaluasi menjadi true jika ada anggota dalam setiap binding peran yang diubah berada di organisasi example.com. Akibatnya, Anda tetap dapat memberikan peran kepada anggota di luar organisasi example.com jika Anda juga memberikan peran yang sama kepada anggota di organisasi example.com.

Misalnya, kondisi dievaluasi menjadi true untuk kumpulan binding berikut, meskipun salah satu anggotanya tidak berada di organisasi example.com:

 "bindings": [
    {
      "members": [
        "user:raha@altostrat.com",
        "user:jie@example.com"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Sebagai gantinya, Anda harus menulis kondisi seperti berikut:

Direkomendasikan — kondisi yang dikonfigurasi dengan benar

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Penggunaan makro all untuk array members.bindings dan array resource.bindings memastikan bahwa kondisi dievaluasi menjadi true hanya jika semua anggota dalam semua binding berada dalam set pokok example.com.

Jenis akun utama yang didukung untuk MemberTypeMatches

Fungsi MemberTypeMatches mengharuskan Anda menentukan jenis prinsipal yang harus cocok dengan anggota yang ditentukan.

Tabel berikut mencantumkan jenis akun utama yang dapat Anda masukkan dan deskripsi tentang jenis akun utama yang diwakili. Bagian ini juga mencantumkan ID utama yang sesuai dengan setiap jenis utama. ID ini adalah nilai yang digunakan dalam kebijakan IAM.

Langkah berikutnya

• Pelajari lebih lanjut Layanan Kebijakan Organisasi.
• Pelajari lebih lanjut cara membuat dan mengelola kebijakan organisasi.
• Lihat daftar lengkap batasan kebijakan organisasi terkelola.