Utilizzare criteri dell'organizzazione personalizzati

Google Cloud I criteri dell'organizzazione offrono un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, ovvero un insieme di restrizioni chiamate vincoli che si applicano a Google Cloud risorse e discendenti di queste risorse nella Google Cloud gerarchia delle risorse. Puoi applicare i criteri dell'organizzazione a livello di organizzazione, cartella o progetto.

Policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nelle norme della tua organizzazione, puoi anche creare norme dell'organizzazione personalizzate.

Vantaggi

Puoi utilizzare criteri dell'organizzazione personalizzati per consentire o negare operazioni specifiche sulle risorse Identity Platform per i requisiti di sicurezza, conformità o governance della tua applicazione. Ad esempio, puoi controllare le seguenti proprietà:

• Puoi disattivare l'opzione di accesso con password per le applicazioni della tua organizzazione e richiedere che utilizzino sempre l'opzione di accesso con email.
• Puoi limitare le applicazioni nella tua organizzazione in modo che utilizzino un provider di identità (IdP) OIDC con un emittente specificato.
• Puoi disattivare le opzioni IdP OIDC e SAML per le applicazioni nella tua organizzazione.
• Puoi disattivare l'opzione multitenancy per le applicazioni nella tua organizzazione.

Ereditarietà delle norme

Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti delle risorse su cui applichi il criterio. Ad esempio, se applichi un criterio a una cartella, Google Cloud il criterio viene applicato a tutti i progetti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta le regole di valutazione della gerarchia.

Prezzi

Il servizio criteri dell'organizzazione, inclusi i criteri dell'organizzazione predefiniti e personalizzati, viene offerto senza costi.

Limitazioni

Quando abiliti Identity Platform per un progetto, Identity Platform crea una configurazione predefinita per quel progetto. Il proprietario del progetto non può modificare i valori predefiniti della configurazione finché il progetto non è attivato. La modifica di uno qualsiasi dei valori predefiniti prima dell'attivazione del progetto può causare un errore di attivazione. Per modificare i valori predefiniti della configurazione dopo l'attivazione, utilizza il metodo updateConfig.

Prima di iniziare

• Connetti la tua app a Identity Platform. Per istruzioni su come connettere l'app, consulta la guida rapida.

• Assicurati di conoscere l'ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:

• Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) sulla risorsa dell'organizzazione
• Amministratore Identity Toolkit (roles/identitytoolkit.admin) nella risorsa Identity Platform

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le policy dell'organizzazione. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Creare un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportati dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati sono definite utilizzando Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione CEL di Creazione e gestione di vincoli personalizzati.

Per creare un file YAML per un vincolo personalizzato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- identitytoolkit.googleapis.com/RESOURCE_NAME
methodTypes: METHOD
condition: CONDITION
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, minuscole o numeri, ad esempio custom.allowEmailLinkLogin. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom.

• RESOURCE_NAME: il nome (non l'URI) della risorsa API REST di Identity Platform contenente l'oggetto e il campo che vuoi limitare. Ad esempio, identitytoolkit.googleapis.com/Config.

• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per saperne di più sulle risorse disponibili per scrivere condizioni, consulta Risorse supportate. Ad esempio, "resource.signIn.email.passwordRequired == true".

• METHOD: Quando crei un vincolo di configurazione o di creazione del tenant, specifica CREATE. Quando crei un vincolo di configurazione o tenant UPDATE, specifica entrambi come segue:

  methodTypes:
  - CREATE
  - UPDATE
  

• ACTION: l'azione da intraprendere se la condizione condition è soddisfatta. Può essere ALLOW o DENY.

• DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

Per ulteriori informazioni su come creare un vincolo personalizzato, vedi Definizione di vincoli personalizzati.

Configurare un vincolo personalizzato

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Applicare una policy dell'organizzazione personalizzata

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Testa il criterio dell'organizzazione personalizzato

Per testare il criterio dell'organizzazione personalizzato, prova ad attivare la multitenancy per il progetto:

curl -i -X PATCH \
-H 'Content-Type: application/json' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-d '
{
  "sign_in": {"email": {"password_required": false}}
}' https://autopush-identitytoolkit.sandbox.googleapis.com/admin/v2/projects/shimingz-playground-1/config\?update_mask\=sign_in.email.password_required

L'output dovrebbe essere il seguente:

Operation denied by custom org policies: ["customConstraints/custom.allowEmailLinkLogin": "Cannot disable email link login."]

Risorse e operazioni supportate da Identity Platform

Identity Platform supporta le seguenti risorse per i criteri dell'organizzazione personalizzati:

• identitytoolkit.googleapis.com/Config
• identitytoolkit.googleapis.com/DefaultSupportedIdpConfig
• identitytoolkit.googleapis.com/InboundSamlConfig
• identitytoolkit.googleapis.com/OauthIdpConfig
• identitytoolkit.googleapis.com/Tenant

Campi non supportati

I seguenti campi non sono supportati perché riguardano la sicurezza della risorsa:

• identitytoolkit.googleapis.com/Config:
  • resource.notification.send_email.smtp.password
• identitytoolkit.googleapis.com/DefaultSupportedIdpConfig:
  • resource.client_secret
• identitytoolkit.googleapis.com/OauthIdpConfig:
  • resource.client_secret

Esempi di norme personalizzate dell'organizzazione per i casi d'uso comuni

La seguente tabella fornisce la sintassi di alcune policy dell'organizzazione personalizzate che potresti trovare utili:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableEmailLogin
    resourceTypes:
    - identitytoolkit.googleapis.com/Config
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.sign_in.email.enabled == true"
    actionType: ALLOW
    displayName: Enable email login
    description: All applications must have email login enabled.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyUnexpectedGoogleClientId
    resourceTypes:
    - identitytoolkit.googleapis.com/DefaultSupportedIdpConfig
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.name.contains('google.com') && !resource.client_id == 'my-client-id'"
    actionType: DENY
    displayName: Only allow login with Google with specific Google client ID
    description: Only allow login with Google with specific Google client ID for all applications.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSpecificSamlEntity
    resourceTypes:
    - identitytoolkit.googleapis.com/InboundSamlConfig
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.idp_config.idp_entity_id == 'my-saml-entity-id'"
    actionType: ALLOW
    displayName: Only allow a specific SAML entity
    description: Only allow a specific SAML entity for applications in this organization.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.allowOauthIdpWithCodeFlow
    resourceTypes:
    - identitytoolkit.googleapis.com/OauthIdpConfig
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.response_type.code == true"
    actionType: ALLOW
    displayName: Allow OIDC IdP with code flow
    description: All OIDC IdP must use code flow.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSmsRegion
    resourceTypes:
    - identitytoolkit.googleapis.com/Tenant
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.sms_region_config.allow_by_default.disallowed_regions.exists(disallowed_region, disallowed_region != 'US')"
    actionType: DENY
    displayName: Allow SMS region in US
    description: Only allow SMS to be operated in the US for all applications.

Passaggi successivi

• Per saperne di più sulle policy dell'organizzazione, consulta la pagina Introduzione al servizio Policy dell'organizzazione.
• Scopri di più su come creare e gestire le norme dell'organizzazione.
• Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.