使用自定义组织政策
本页介绍了如何使用组织政策服务自定义限制条件来限制对以下 Google Cloud 资源的特定操作：
compute.googleapis.com/Router
如需详细了解组织政策，请参阅自定义组织政策。
组织政策和限制条件简介
Google Cloud 组织政策服务可让您以编程方式集中控制组织的资源。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的 Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。
组织政策为各种 Google Cloud 服务提供预定义限制条件。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。
政策继承
如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策，Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。
限制
resource.bgpPeers 和 resource.interfaces 字段的某些子字段尚不受支持。准备工作
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init - 请确保您知道您的组织 ID。
所需的角色
如需获得管理自定义组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。
如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
创建自定义限制条件
自定义限制条件是在 YAML 文件中，由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。
如需创建自定义限制条件，请使用以下格式创建 YAML 文件：
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
替换以下内容：
ORGANIZATION_ID：您的组织 ID，例如123456789。CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以custom.开头，只能包含大写字母、小写字母或数字，例如custom.restrictPeerAsn。此字段的最大长度为 70 个字符。RESOURCE_NAME：包含要限制的对象和字段的 Google Cloud 资源的完全限定名称。例如compute.googleapis.com/Router。CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。 如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。 例如"resource.bgpPeers.all(b, b.peerAsn == 61234)"。ACTION：满足condition时要执行的操作。可能的值有ALLOW和DENY。DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。
如需详细了解如何创建自定义限制条件，请参阅定义自定义限制条件。
设置自定义限制条件
为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用gcloud org-policies set-custom-constraint 命令：
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令：
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID 替换为您的组织资源的 ID。
如需了解详情，请参阅查看组织政策。
强制执行自定义组织政策
如需强制执行布尔值限制条件，您可以创建引用该限制条件的组织政策，并将该组织政策应用于 Google Cloud 资源。控制台
- 在 Google Cloud 控制台中，转到组织政策页面。
- 在项目选择器中，选择要设置组织政策的项目。
- 从组织政策页面上的列表中选择您的限制条件，以查看该限制条件的政策详情页面。
- 如需为该资源配置组织政策，请点击管理政策。
- 在修改政策页面，选择覆盖父级政策。
- 点击添加规则。
- 在强制执行部分中，选择开启还是关闭此组织政策的强制执行。
- （可选）如需使组织政策成为基于某个标记的条件性政策，请点击添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。如需了解详情，请参阅设置带有标记的组织政策。
- 如果是自定义限制条件，您可以点击测试更改来模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
- 若要完成并应用组织政策，请点击设置政策。该政策最长需要 15 分钟才能生效。
gcloud
如需创建强制执行布尔值限制条件的组织政策，请创建引用该限制条件的 YAML 政策文件：
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
请替换以下内容：
-
PROJECT_ID：要对其实施限制条件的项目。 -
CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.restrictPeerAsn。
如需强制执行包含限制条件的组织政策，请运行以下命令：
gcloud org-policies set-policy POLICY_PATH
将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。
测试自定义组织政策
以下示例创建自定义限制条件和政策，要求特定项目中的所有新 Cloud Router 路由器仅支持 IPv6。
在开始之前，您应该了解以下信息：
- 您的组织 ID
- 项目 ID
创建限制条件
将以下文件保存为
constraint-restrict-peer-asn.yaml：name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictPeerAsn resourceTypes: - compute.googleapis.com/Router methodTypes: - CREATE - UPDATE condition: "resource.bgpPeers.all(b, b.peerAsn == 61234)" actionType: ALLOW displayName: Restrict BGP peer ASNs. description: All BGP Peers must connect with peer ASN 61234.这定义了一个约束条件，即每个 Cloud Router 中的每个 BGO 对等 ASN 都必须是指定的编号。
应用限制条件：
gcloud org-policies set-custom-constraint ~/constraint-restrict-peer-asn.yaml验证限制条件存在：
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID输出类似于以下内容：
CUSTOM_CONSTRAINT ACTION_TYPE METHOD_TYPES RESOURCE_TYPES DISPLAY_NAME custom.restrictPeerAsn ALLOW CREATE,UPDATE compute.googleapis.com/Router Restrict BGP peer ASNs. ...
创建政策
将以下文件保存为
policy-restrict-peer-asn.yaml：name: projects/PROJECT_ID/policies/custom.restrictPeerAsn spec: rules: - enforce: true将
PROJECT_ID替换为您的项目 ID。应用政策：
gcloud org-policies set-policy ~/policy-restrict-peer-asn.yaml验证政策存在：
gcloud org-policies list --project=PROJECT_ID输出类似于以下内容：
CONSTRAINT LIST_POLICY BOOLEAN_POLICY ETAG custom.restrictPeerAsn - SET COCsm5QGENiXi2E=
应用政策后，请等待大约两分钟，以便 Google Cloud 开始强制执行政策。
测试政策
在项目中创建一个具有单个接口的 Cloud Router 路由器：
gcloud compute routers create r1 --region=us-central1
gcloud compute routers add-interface r1 --region=us-central1 \
--interface-name=i1 --vpn-tunnel=vpn-tunnel1
请尝试添加 BGP 对等方：
gcloud compute routers add-bgp-peer r1 --region=us-central1 \
--peer-name=p1 --interface=i1 --peer-asn=61235
输出类似于以下内容：
Operation denied by custom org policies: ["customConstraints/custom.restrictPeerAsn": "BGP Peer ASN must be 61234."]
常见用例的自定义组织政策示例
下表提供了一些常见用例的自定义约束条件的语法：
| 说明 | 限制条件语法 |
|---|---|
| 限制 BGP 对等 ASN |
name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictBgpPeerAsn resourceTypes: - compute.googleapis.com/Router methodTypes: - CREATE - UPDATE condition: "resource.bgpPeers.all(b, b.peerAsn == 61234)" actionType: ALLOW displayName: Restrict BGP peer ASNs. description: All BGP Peers must connect with peer ASN 61234. |
Cloud Router 支持的资源
下表列出了您可以在自定义约束条件中引用的 Cloud Router 资源。| 资源 | 字段 |
|---|---|
| compute.googleapis.com/Router |
resource.bgp.advertisedGroups
|
resource.bgp.advertisedIpRanges.description
| |
resource.bgp.advertisedIpRanges.range
| |
resource.bgp.advertiseMode
| |
resource.bgp.asn
| |
resource.bgp.keepaliveInterval
| |
resource.bgpPeers.advertisedGroups
| |
resource.bgpPeers.advertisedIpRanges.description
| |
resource.bgpPeers.advertisedIpRanges.range
| |
resource.bgpPeers.advertisedRoutePriority
| |
resource.bgpPeers.advertiseMode
| |
resource.bgpPeers.customLearnedIpRanges.range
| |
resource.bgpPeers.customLearnedRoutePriority
| |
resource.bgpPeers.md5AuthenticationKeyName
| |
resource.bgpPeers.peerAsn
| |
resource.bgpPeers.routerApplianceInstance
| |
resource.description
| |
resource.encryptedInterconnectRouter
| |
resource.interfaces.linkedVpnTunnel
| |
resource.interfaces.subnetwork
| |
resource.md5AuthenticationKeys.name
| |
resource.name
| |
resource.nats.autoNetworkTier
| |
resource.nats.drainNatIps
| |
resource.nats.enableDynamicPortAllocation
| |
resource.nats.enableEndpointIndependentMapping
| |
resource.nats.endpointTypes
| |
resource.nats.icmpIdleTimeoutSec
| |
resource.nats.logConfig.enable
| |
resource.nats.logConfig.filter
| |
resource.nats.maxPortsPerVm
| |
resource.nats.minPortsPerVm
| |
resource.nats.name
| |
resource.nats.natIpAllocateOption
| |
resource.nats.natIps
| |
resource.nats.rules.action.sourceNatActiveIps
| |
resource.nats.rules.action.sourceNatActiveRanges
| |
resource.nats.rules.action.sourceNatDrainIps
| |
resource.nats.rules.action.sourceNatDrainRanges
| |
resource.nats.rules.description
| |
resource.nats.rules.match
| |
resource.nats.rules.ruleNumber
| |
resource.nats.sourceSubnetworkIpRangesToNat
| |
resource.nats.subnetworks.name
| |
resource.nats.subnetworks.secondaryIpRangeNames
| |
resource.nats.subnetworks.sourceIpRangesToNat
| |
resource.nats.tcpEstablishedIdleTimeoutSec
| |
resource.nats.tcpTimeWaitTimeoutSec
| |
resource.nats.tcpTransitoryIdleTimeoutSec
| |
resource.nats.type
| |
resource.nats.udpIdleTimeoutSec
| |
resource.nccGateway
| |
resource.network
|