本頁面由 Cloud Translation API 翻譯而成。

使用自訂機構政策

本頁面說明如何使用機構政策服務自訂限制，限制下列 Google Cloud 資源的特定作業：

compute.googleapis.com/Interconnect
compute.googleapis.com/InterconnectAttachment

如要進一步瞭解機構政策，請參閱「自訂機構政策」。

關於機構政策和限制

Google Cloud 機構政策服務可讓您透過程式以集中方式控管機構資源。身為機構政策管理員，您可以定義機構政策，也就是一組稱為「限制」的限制，適用於 Google Cloud 資源階層中的Google Cloud 資源和這些資源的子系。您可以在機構、資料夾或專案層級強制執行機構政策。

機構政策為各種 Google Cloud 服務提供內建的受管理限制條件。不過，如果您想進一步控管機構政策中受限制的特定欄位，並以更精細的方式進行自訂控管，也可以建立自訂限制，並在機構政策中使用這些自訂限制。

政策繼承

根據預設，機構政策會由您強制執行政策的資源子項繼承。舉例來說，如果您對資料夾套用政策， Google Cloud 就會對資料夾中的所有專案套用該政策。如要進一步瞭解這項行為和如何變更，請參閱「階層評估規則」。

事前準備

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

請務必確認您知道自己的機構 ID。

必要的角色

如要取得管理自訂機構政策所需的權限，請要求管理員授予您機構資源的機構政策管理員 (roles/orgpolicy.policyAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

建立自訂限制

自訂限制是在 YAML 檔案中定義，並由您要套用機構政策的服務支援的資源、方法、條件和動作定義。您可以使用一般運算語言 (CEL) 定義自訂限制條件。如要進一步瞭解如何使用 CEL 在自訂限制中建立條件，請參閱「建立及管理自訂限制」一文的 CEL 相關部分。

如要建立自訂限制，請使用下列格式建立 YAML 檔案：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

更改下列內容：

ORGANIZATION_ID：貴機構 ID，例如 123456789。
CONSTRAINT_NAME：您要為新自訂限制設定的名稱。自訂限制的開頭必須為 custom.，且只能包含大寫英文字母、小寫英文字母或數字。例如，custom.restrictNocContactEmailDomain。這個欄位的長度上限為 70 個半形字元。
RESOURCE_NAME：包含您要限制的物件和欄位的Google Cloud 資源完整限定名稱。例如：compute.googleapis.com/Interconnect。
CONDITION：針對支援的服務資源表示法編寫的 CEL 條件。這個欄位的長度上限為 1000 個半形字元。如要進一步瞭解可用於寫入條件的資源，請參閱「支援的資源」。例如："resource.nocContactEmail.endsWith('@example.com')"。
ACTION：如果符合 condition，則採取的動作。可能的值為 ALLOW 和 DENY。
DISPLAY_NAME：限制的易讀名稱。這個欄位的長度上限為 200 個半形字元。
DESCRIPTION：在違反政策時，要以錯誤訊息形式顯示的限制說明。這個欄位的長度上限為 2000 個半形字元。

如要進一步瞭解如何建立自訂限制，請參閱「定義自訂限制」。

設定自訂限制

gcloud org-policies set-custom-constraint

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

CONSTRAINT_PATH

/home/user/customconstraint.yaml

gcloud org-policies list-custom-constraints

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

ORGANIZATION_ID

查看組織政策

強制執行自訂機構政策

控制台

在 Google Cloud 控制台中，前往「Organization policies」(機構政策) 頁面。
前往「機構政策」
在專案選擇工具中，選取要設定機構政策的專案。
在「Organization policies」頁面的清單中選取限制條件，即可查看該限制條件的「Policy details」頁面。
如要設定這項資源的機構政策，請按一下「管理政策」。
在「Edit policy」頁面中，選取「Override parent's policy」。
按一下「新增規則」。
在「Enforcement」(強制執行) 部分，選取是否要啟用這項機構政策的強制執行功能。
選用：如要讓機構政策依標記而定，請按一下「新增條件」。請注意，如果您在組織政策中新增條件規則，則必須至少新增一項無條件規則，否則無法儲存政策。詳情請參閱「設定含有標記的組織政策」。
按一下「測試變更」，模擬機構政策的效果。舊版受管理限制條件無法進行政策模擬。詳情請參閱「使用 Policy Simulator 測試組織政策變更」。
如要完成並套用機構政策，請按一下「設定政策」。這項政策最多需要 15 分鐘才會生效。

gcloud

如要建立包含布林值規則的機構政策，請建立參照限制的政策 YAML 檔案：

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

取代下列內容：

PROJECT_ID：您要強制執行限制的專案。
CONSTRAINT_NAME：您為自訂限制定義的名稱。例如：custom.restrictNocContactEmailDomain。

如要強制執行包含限制的機構政策，請執行下列指令：

    gcloud org-policies set-policy POLICY_PATH

將 POLICY_PATH 替換為機構政策 YAML 檔案的完整路徑。這項政策最多需要 15 分鐘才會生效。

測試自訂機構政策

以下範例會建立自訂限制和政策，要求特定專案中的所有新叢集皆為 Autopilot 叢集。

開始之前，請先瞭解下列事項：

您的機構 ID
專案 ID

建立限制

將下列檔案儲存為 constraint-restrict-noc-contact-email.yaml：

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictNocContactEmailDomain
resourceTypes:
- compute.googleapis.com/Interconnect
methodTypes:
- CREATE
- UPDATE
condition: "resource.nocContactEmail.endsWith('@example.com')"
actionType: ALLOW
displayName: Restrict allowed NOC contact email domains.
description: All Interconnects must have NOC contact email set to an address in the example.com domain.

這項限制定義了每個 Cloud Interconnect 的 NOC 聯絡人電子郵件地址必須位於指定網域。

套用限制：

gcloud org-policies set-custom-constraint ~/constraint-restrict-noc-contact-email.yaml

確認限制條件是否存在：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

輸出結果會與下列內容相似：

CUSTOM_CONSTRAINT                       ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                      DISPLAY_NAME
custom.restrictNocContactEmailDomain    ALLOW        CREATE,UPDATE  compute.googleapis.com/Interconnect Restrict allowed NOC contact email domains.
...

建立政策

將下列檔案儲存為 policy-restrict-noc-contact-email.yaml：

name: projects/PROJECT_ID/policies/custom.enableGkeAutopilot
spec:
  rules:
  - enforce: true

將 PROJECT_ID 替換為您的專案 ID。

套用政策：

gcloud org-policies set-policy ~/policy-restrict-noc-contact-email.yaml

確認政策是否存在：

gcloud org-policies list --project=PROJECT_ID

輸出結果會與下列內容相似：

CONSTRAINT                             LIST_POLICY    BOOLEAN_POLICY    ETAG
custom.restrictNocContactEmailDomain   -              SET               COCsm5QGENiXi2E=

套用政策後，請等待約兩分鐘， Google Cloud 才會開始強制執行政策。

測試政策

gcloud compute interconnects create demo-interconnect \
    --customer-name=example_customer \
    --interconnect-type=DEDICATED \
    --link-type=LINK_TYPE_ETHERNET_10G_LR \
    --location=example_location \
    --requested-link-count=1 \
    --noc-contact-email="noc@wrong.domain"

輸出結果會與下列內容相似：

Operation denied by custom org policies: ["customConstraints/custom.restrictNocContactEmailDomain": "All Interconnects must have NOC contact email set to an address in the example.com domain."]

常見用途的自訂機構政策範例

下表列出常見用途的部分自訂限制條件語法：

說明	限制條件語法
限制 NOC 聯絡電子郵件地址，只允許網域中的地址	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.enableRestrictNocContactEmailDomain resourceTypes: - compute.googleapis.com/Interconnect methodTypes: - CREATE - UPDATE condition: "resource.nocContactEmail.endsWith('@example.com')" actionType: ALLOW displayName: Restrict allowed NOC contact email domains. description: All Interconnects must have NOC contact email set to an address in the example.com domain.
要求所有互連附件都必須加密	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.enableRequireEncryption resourceTypes: - compute.googleapis.com/InterconnectAttachment methodTypes: - CREATE - UPDATE condition: "has(resource.encryption) && resource.encryption == 'IPSEC'" actionType: ALLOW displayName: Require encryption for all interconnect attachments. description: All interconnect attachments must use IPSEC encryption option.

說明

限制條件語法

限制 NOC 聯絡電子郵件地址，只允許網域中的地址

  name: organizations/ORGANIZATION_ID/customConstraints/custom.enableRestrictNocContactEmailDomain
  resourceTypes:
  - compute.googleapis.com/Interconnect
  methodTypes:
  - CREATE
  - UPDATE
  condition: "resource.nocContactEmail.endsWith('@example.com')"
  actionType: ALLOW
  displayName: Restrict allowed NOC contact email domains.
  description: All Interconnects must have NOC contact email set to an address in the example.com domain.

要求所有互連附件都必須加密

  name: organizations/ORGANIZATION_ID/customConstraints/custom.enableRequireEncryption
  resourceTypes:
  - compute.googleapis.com/InterconnectAttachment
  methodTypes:
  - CREATE
  - UPDATE
  condition: "has(resource.encryption) && resource.encryption == 'IPSEC'"
  actionType: ALLOW
  displayName: Require encryption for all interconnect attachments.
  description: All interconnect attachments must use IPSEC encryption option.

Cloud Interconnect 支援的資源

資源	欄位
compute.googleapis.com/Interconnect	`resource.adminEnabled`
	`resource.customerName`
	`resource.description`
	`resource.interconnectType`
	`resource.linkType`
	`resource.location`
	`resource.macsec.failOpen`
	`resource.macsec.preSharedKeys.name`
	`resource.macsec.preSharedKeys.startTime`
	`resource.macsecEnabled`
	`resource.name`
	`resource.nocContactEmail`
	`resource.remoteLocation`
	`resource.requestedFeatures`
	`resource.requestedLinkCount`
compute.googleapis.com/InterconnectAttachment	`resource.adminEnabled`
	`resource.bandwidth`
	`resource.candidateSubnets`
	`resource.description`
	`resource.edgeAvailabilityDomain`
	`resource.encryption`
	`resource.ipsecInternalAddresses`
	`resource.mtu`
	`resource.name`
	`resource.router`
	`resource.stackType`
	`resource.subnetLength`
	`resource.type`
	`resource.vlanTag8021q`

後續步驟

如要進一步瞭解 Cloud Interconnect 選項，請參閱 Cloud Interconnect 總覽。
如要解決使用 Cloud Interconnect 時可能遇到的常見問題，請參閱疑難排解。
請參閱預先定義的 Cloud Interconnect 機構政策限制。
進一步瞭解機構政策服務。
進一步瞭解如何建立及管理組織政策。
請參閱受管理的機構政策限制完整清單。

使用自訂機構政策 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

關於機構政策和限制

政策繼承

事前準備

必要的角色

建立自訂限制

設定自訂限制

強制執行自訂機構政策

控制台

gcloud

測試自訂機構政策

建立限制

建立政策

測試政策

常見用途的自訂機構政策範例

Cloud Interconnect 支援的資源

後續步驟

使用自訂機構政策