限制资源位置

概览

本指南介绍如何设置包含资源位置限制条件的组织政策。

您可以使用组织政策服务资源的位置限制条件来限制新资源的物理位置，还可以使用资源的位置属性来标识服务部署和维护该资源的位置。对于某些 Google Cloud 服务的包含数据的资源，此属性还反映了数据的存储位置。通过此限制条件，您可以定义允许为层次结构中受支持的服务创建资源的 Google Cloud 位置。

定义资源位置后，此限制将仅应用于新创建的资源。您在设置资源位置限制条件之前创建的资源将继续存在并执行其功能。

对于 Cloud Storage 和 Dataproc 等某些服务，系统不会在创建子资源时强制执行包含此限制条件的政策。

限制

组织政策服务的资源位置限制条件旨在控制创建可选择位置的资源的能力。此限制不会影响创建全局资源（例如 Compute Engine 全局地址）或不支持选择位置的资源的位置。

为了避免破坏现有的服务基础架构，您应该先在非生产项目和文件夹中测试任何新政策，然后再将该政策逐步应用于整个组织。

如需了解数据存储承诺，请参阅 Google Cloud 服务条款和服务专用条款。包含资源位置限制条件的组织政策不是数据存储承诺。

此限制条件适用于一部分特定的产品和资源类型。如需获取支持的服务列表以及每项服务的行为详细信息，请参阅支持资源位置的服务页面。

位置类型

您可以在代表不同大小类别的位置类型中部署 Google Cloud 资源。最大的位置类型是 multi-region，其中包括多个 region。每个 region 可进一步划分为多个 zones。如需详细了解区域和地区，请参阅区域和地区概览。

• Multi-region 位置以多个 region 中的物理资源为支持，通常仅由存储资源使用。一些示例包括 us、asia、europe 和 global。

• Region 位置在地理上彼此隔离。一些示例包括 us-west1（俄勒冈）、asia-northeast1（东京）和 europe-west1（比利时）。

• Zone 位置是用于部署资源的最精细独立位置类型。zone 是 region 内的独立故障网域。一些示例包括 us-east1-b、us-west1-b 和 asia-northeast1-a。

设置位置时，应使用 in: 前缀和值组。使用 Google Cloud 精心挑选的值组，您可以选择地理位置，而无需指定当前或未来的 Cloud 位置。

值组的前缀 in: 指定该值组内存在的所有值均被视为政策的一部分。如果您输入组值或不带前缀的 Google Cloud 区域，则系统会按照以下规则自动添加 in: 前缀：

• 如果输入的是使用前缀 in: 的位置，并且该位置包含任何无效的组，则政策更改将失败。
• 如果输入的位置是一个区域（例如 us-east1），则该位置的前缀为 in:，在此示例中为 in:us-east1-locations。
• 如果输入单区域或多区域值组（例如 us-locations），则该值组将带有 in: 前缀，在此示例中为 in:us-locations。
• 如果输入单地区或多区域，例如 us-east1-b 或 us，则这些值将不会更改。

设置组织政策

资源位置限制条件是一种列表限制条件。 您可以通过资源位置限制条件的 allowed_values 或 denied_values 列表添加和移除位置。将新位置添加到可用列表时，为防止组织政策意外限制服务行为，请使用值组，或表示要定义的整个地理边界的 allowed_values 列表。

如需设置包含资源位置限制条件的组织政策，请执行以下操作：

name: organizations/ORGANIZATION_ID/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

gcloud org-policies set-policy POLICY_PATH

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      allowedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

curl -X POST -H "Content-Type: application/json" -H "Authorization: \
Bearer ${bearer_token}" -d '{policy: {etag: "BwVtXec438Y=", constraint: \
"constraints/gcp.resourceLocations", list_policy: {denied_values: \
["in:europe-locations", "in:southamerica-locations"] }}}' \
https://cloudresourcemanager.googleapis.com/v1/organizations/123456789:setOrgPolicy

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:europe-locations
      - in:southamerica-locations

如需了解如何在组织政策中使用限制条件，请参阅使用限制条件。

在组织政策中使用继承机制

您可以优化组织政策，以便从资源的父节点继承组织政策。 通过继承机制，您可以精确控制整个资源层次结构中使用的组织政策。

如需在资源节点上启用继承功能，请在组织政策 YAML 文件中设置 inheritFromParent = true。例如：

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  inheritFromParent: true
  rules:
  - values:
      deniedValues:
      - in:us-west1

错误消息示例

支持资源位置限制条件的服务无法在违反该限制条件的位置创建新资源。如果某服务尝试在违反相应限制条件的位置创建资源，则尝试操作将失败并产生错误消息。

此错误讯息的格式为 LOCATION_IN_REQUEST violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_TESTED.

在以下示例中，Compute Engine 资源由于违反政策而无法创建新的实例：

Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations
on the resource
projects/policy-violation-test/zones/us-east1-b/instances/instance-3.

Google Cloud Observability 和 Cloud Audit Logs 日志条目：

{
 insertId: "5u759gdngec"
 logName: "projects/policy-violation-test/logs/cloudaudit.googleapis.com%2Factivity"
 protoPayload: {
  @type: "type.googleapis.com/google.cloud.audit.AuditLog"
  authenticationInfo: {…}
  authorizationInfo: [6]
  methodName: "beta.compute.instances.insert"
  request: {…}
  requestMetadata: {…}
  resourceLocation: {…}
  resourceName: "projects/policy-violation-test/zones/us-east1-b/instances/instance-3"
  response: {
   @type: "type.googleapis.com/error"
   error: {
    code: 412
    errors: [
     0: {
      domain: "global"
      location: "If-Match"
      locationType: "header"
      message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
      reason: "conditionNotMet"
     }
    ]
    message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
   }
  }
  serviceName: "compute.googleapis.com"
  status: {
   code: 3
   message: "INVALID_ARGUMENT"
  }
 }
 receiveTimestamp: "2019-06-14T03:04:23.660988360Z"
 resource: {
  labels: {…}
  type: "gce_instance"
 }
 severity: "ERROR"
 timestamp: "2019-06-14T03:04:22.783Z"
}

漏洞发现结果和补救

资源位置限制条件会在运行时限制资源的创建。此功能有助于防止发生位置违规，但不会识别或补救现有违规。您可以使用 Security Command Center（Security Health Analytics 的一项内置服务）来发现资源层次结构中的位置违规。如需了解详情，请参阅组织政策漏洞和发现结果。

如果存在 Security Health Analytics 针对位置违规的发现结果，请参阅针对 Security Health Analytics 的发现结果进行补救，了解针对这些发现结果进行补救的步骤。

值组

值组是由 Google 精心挑选的组和位置的集合，可让您轻松定义资源位置。值组包含许多相关位置。Google 会不断扩充值组，您无需更改组织政策即可适应新的位置。

如需在组织政策中使用值组，请在您的条目前面添加 in: 字符串作为前缀。如需详细了解如何使用值前缀，请参阅使用限制条件。调用以设置组织政策时，系统会验证组名称。使用无效的群组名称会导致政策设置失败。

下表包含最新的可用组列表：

身份验证

组织政策服务使用 OAuth 2.0 进行 API 身份验证和授权。要获取 OAuth 2.0 不记名令牌，请执行以下操作：

1. 转到 OAuth 2.0 Playground 页面。

2. 在第 1 步范围列表中，选择 Cloud Resource Manager API v2 > https://www.googleapis.com/auth/cloud-platform，然后点击授权 API (Authorize APIs)。

3. 在显示的使用 Google 账号登录页面上，选择您的账号并登录。

4. 如需提供对 Google Oauth 2.0 Playground 的访问权限，请在出现的提示上点击允许。

5. 在第 2 步中，点击以授权代码交换令牌 (Exchange authorization code for tokens)。

6. 在右侧的请求/响应窗格底部，将显示您的访问令牌字符串：

   {
     "access_token": "ACCESS_TOKEN",
     "token_type": "Bearer",
     "expires_in": 3600
   }
   

   其中，ACCESS_TOKEN 是可用于 API 授权的 OAuth 2.0 不记名令牌字符串。