Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Batasan kebijakan organisasi
Halaman ini memberikan informasi tentang batasan kebijakan
organisasi
yang dapat Anda konfigurasikan untuk Cloud NAT.
Administrator jaringan dapat membuat konfigurasi Cloud NAT dan
menentukan subjaringan (subnet) yang dapat menggunakan gateway. Secara default, tidak ada batas untuk subnetwork yang dibuat administrator atau subnetwork mana yang dapat menggunakan konfigurasi Cloud NAT.
Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) dapat menggunakan batasan constraints/compute.restrictCloudNATUsage untuk membatasi
subnet mana yang dapat menggunakan Cloud NAT.
Anda membuat dan menerapkan batasan organisasi dalam kebijakan organisasi.
Anda dapat membuat batasan allow atau deny pada level hierarki resource berikut:
Organisasi
Folder
Project
Subnetwork
Secara default, batasan yang dibuat pada node diwarisi oleh semua node turunan.
Namun, Administrator Kebijakan Organisasi untuk folder tertentu dapat memutuskan
bahwa folder tertentu diwarisi dari induknya, sehingga pewarisan tidak bersifat
otomatis. Untuk informasi selengkapnya, lihat
Pewarisan
di Memahami evaluasi hierarki.
Batasan tidak diterapkan secara surut. Konfigurasi yang ada akan terus
berfungsi meskipun melanggar batasan.
Batasan terdiri dari setelan allow dan deny.
Interaksi antara nilai yang diizinkan dan ditolak
Jika batasan restrictCloudNatUsage dikonfigurasi, tetapi allowedValues atau deniedValues tidak ditentukan, semua hal diizinkan.
Jika allowedValues dikonfigurasi dan deniedValues tidak dikonfigurasi,
semua yang tidak ditentukan dalam allowedValues akan ditolak.
Jika deniedValues dikonfigurasi dan allowedValues tidak dikonfigurasi,
semua yang tidak ditentukan dalam deniedValues akan diizinkan.
Jika allowedValues dan deniedValues dikonfigurasi, semua yang tidak
ditentukan di allowedValues akan ditolak.
Jika dua nilai bertentangan, deniedValues akan diprioritaskan.
Interaksi antara subnet dan gateway
Batasan tidak mencegah subnet menggunakan gateway NAT. Sebagai gantinya,
batasan mencegah konfigurasi yang akan melanggar batasan
dengan mencegah pembuatan gateway atau subnet.
Contoh 1: Mencoba membuat subnet yang melanggar aturan deny
Gateway ada di suatu region.
Gateway dikonfigurasi untuk mengizinkan semua subnet di region menggunakannya.
Satu subnet (subnet-1) ada di region.
Batasan dibuat sehingga hanya subnet-1 yang dapat menggunakan gateway.
Administrator tidak dapat membuat lebih banyak subnet di jaringan tersebut di
region tersebut. Batasan ini mencegah pembuatan subnet yang akan
dapat menggunakan gateway. Jika subnet baru harus ada, Administrator Kebijakan Organisasi dapat menambahkan subnet ini ke daftar
subnet yang diizinkan.
Contoh 2: Mencoba membuat gateway yang melanggar aturan deny
Ada dua subnet (subnet-1 dan subnet-2) di suatu region.
Ada batasan yang hanya mengizinkan subnet-1 menggunakan gateway.
Administrator tidak dapat membuat gateway yang terbuka untuk semua subnet di region. Sebagai gantinya, mereka harus membuat gateway yang hanya menayangkan
subnet-1, atau Administrator Kebijakan Organisasi harus menambahkan subnet-2 ke
daftar subnet yang diizinkan.
Membuat batasan
Untuk membuat kebijakan organisasi dengan batasan tertentu, lihat
Menggunakan batasan.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-08-19 UTC."],[],[],null,["# Organization policy constraints\n===============================\n\nThis page provides information about the [organization\npolicy](/resource-manager/docs/organization-policy/overview) constraints\nthat you can configure for Cloud NAT.\n\nNetwork administrators can create Cloud NAT configurations and\nspecify which subnetworks (subnets) can use the gateway. By default, there\nare no limits to what subnets the administrator creates or which of them\ncan use a Cloud NAT configuration.\n\nAn Organization Policy Administrator (`roles/orgpolicy.policyAdmin`) can use the `constraints/compute.restrictCloudNATUsage` constraint to limit which\nsubnets can use Cloud NAT.\n\nYou create and enforce organizational constraints in an organization policy.\n\nPrerequisites\n-------------\n\n### IAM permissions\n\n- The person creating the constraints must have the [roles/orgpolicy.policyAdmin](/iam/docs/understanding-roles#organization-policy-roles) role.\n- If using Shared VPC, the user role must be in the host project.\n\n### Organization policy background\n\nIf you have not worked with organization policy constraints before, first review\nthe following documentation:\n\n- [Understanding constraints](/resource-manager/docs/organization-policy/understanding-constraints)\n- [Understanding hierarchy evaluation](/resource-manager/docs/organization-policy/understanding-hierarchy)\n\nPlanning your constraints\n-------------------------\n\nYou can create `allow` or `deny` constraints at the following levels\nof the resource hierarchy:\n\n- Organization\n- Folder\n- Project\n- Subnetwork\n\nBy default, a constraint created at a node is inherited by all child nodes.\nHowever, an Organization Policy Administrator for a given folder can decide if a\ngiven folder inherits from its parents, so inheritance is not\nautomatic. For more information, see\n[Inheritance](/resource-manager/docs/organization-policy/understanding-hierarchy#inheritance)\nin *Understanding hierarchy evaluation*.\n\nConstraints are not applied retroactively. Existing configurations continue to\nwork even if they violate the constraints.\n\nConstraints consist of `allow` and `deny` settings.\n\n### Interaction between allowed and denied values\n\n- If a `restrictCloudNatUsage` constraint is configured but neither `allowedValues` nor `deniedValues` is specified, everything is allowed.\n- If `allowedValues` is configured and `deniedValues` is not configured, everything not specified in `allowedValues` is denied.\n- If `deniedValues` is configured and `allowedValues` is not configured, everything not specified in `deniedValues` is allowed.\n- If both `allowedValues` and `deniedValues` are configured, everything not specified in `allowedValues` is denied.\n- If two values conflict, `deniedValues` takes precedence.\n\n### Interaction between subnets and gateways\n\nConstraints do not prevent subnets from using a NAT gateway. Instead,\nconstraints prevent a configuration that would violate the constraint\nby preventing the creation of either a gateway or a subnet.\n\n#### Example 1: Trying to create a subnet that violates a `deny` rule\n\n1. A gateway exists in a region.\n2. The gateway is configured to allow all subnets in a region to use it.\n3. A single subnet (`subnet-1`) exists in the region.\n4. A constraint is created so that only `subnet-1` can use the gateway.\n5. Administrators are not able to create more subnets in that network in that region. The constraint prevents the creation of subnets that *would* be able to use the gateway. If the new subnets should exist, then the Organization Policy Administrator can add these subnets to the list of permitted subnets.\n\n#### Example 2: Trying to create a gateway that violates a `deny` rule\n\n1. Two subnets (`subnet-1` and `subnet-2`) exist in a region.\n2. A constraint exists that only allows `subnet-1` to use a gateway.\n3. Administrators are not able to create a gateway that is open to all subnets in the region. Instead, either they have to create a gateway that only serves `subnet-1`, or the Organization Policy Administrator has to add `subnet-2` to the list of permitted subnets.\n\nCreating your constraints\n-------------------------\n\nTo create an organization policy with a particular constraint, see\n[Using constraints](/resource-manager/docs/organization-policy/using-constraints).\n\nWhat's next\n-----------\n\n- Learn about how to use [custom organization policies](/nat/docs/custom-constraints).\n- Set up a [Public NAT gateway](/nat/docs/set-up-network-address-translation).\n- Set up a [Private NAT gateway](/nat/docs/set-up-private-nat)."]]
