限制資源位置

總覽

本指南說明如何設定包含資源位置限制的機構政策。

您可以使用機構政策服務資源位置限制，限制新資源的實際位置，也可以使用資源的位置屬性來識別服務部署和維護該資源的位置。對於某些 Google Cloud 服務中包含資料的資源，此屬性也反映了資料的儲存位置。這項限制可讓您定義允許的位置 Google Cloud ，以便在階層中建立支援服務的資源。

定義資源位置後，這項限制只會套用至新建立的資源。在設定資源位置限制之前，您建立的資源將繼續存在並執行其功能。

對於某些服務如 Cloud Storage 和 Dataproc 的子資源建立，不會強制執行包含此限制的政策。

限制

資源位置機構政策服務限制會控管是否能建立可選取位置的資源。這項限制不會影響建立全域資源 (例如 Compute Engine 全域位址) 的位置，也不會影響建立不支援選取位置的資源。

為避免破壞現有的服務基礎架構，您應該先以非實際工作環境的專案和資料夾測試任何新政策，然後才在機構內逐步套用政策。

如需資料儲存承諾的相關資訊，請參閱Google Cloud 服務條款及服務專屬條款。包含資源位置限制的機構政策不是資料儲存承諾。

此限制適用於部分特定的產品和資源類型。如需支援的服務清單，以及各項服務的行為詳細資料，請參閱「資源位置支援的服務」頁面。

位置類別

您可以在代表不同大小類別的位置類型中部署 Google Cloud 資源。最大的位置類型是 multi-region，其中包括多個 region。每個 region 進一步劃分為 zones。如要進一步瞭解地區和區域，請參閱地區和區域總覽。

• Multi-region 位置受到一或多個 region 的實體資源支援，並且通常僅由以儲存為基礎的資源使用。例如 us、asia、europe 和 global。

• Region 位置在地理位置上互相隔離。部分範例包括 us-west1 (奧勒岡)、asia-northeast1 (東京) 和 europe-west1 (比利時)。

• Zone 位置是用於部署資源的最精細且隔離的位置類型。zone 是 region 內的一個獨立故障網域。例如 us-east1-b、us-west1-b 和 asia-northeast1-a。

設定地點時，請使用 in: 前置字元和值群組。使用 Google 精選的值組，即可選擇地理位置，不必指定目前或未來的 Cloud 位置。 Google Cloud

值組的前置字元 in: 會指定值組內的所有值都視為政策的一部分。如果輸入群組值或 Google Cloud 區域時未加上前置字元，系統會根據下列規則自動加上 in: 前置字元：

• 如果您輸入使用 in: 前置字串的位置，且該位置含有任何無效群組，政策變更就會失敗。
• 如果您輸入的地區是區域，例如 us-east1，系統會加上 in: 前置字元，例如 in:us-east1-locations。
• 如果您輸入區域或多區域值群組 (例如 us-locations)，系統會加上 in: 前置字元，因此範例會變成 in:us-locations。
• 如果您輸入 us-east1-b 或 us 等區域或多區域，值不會變更。

設定機構政策

資源位置限制是一種舊版管理限制，具有清單規則。您可以從資源位置限制的 allowed_values 或 denied_values 清單新增及移除位置。如要防止機構政策在新位置加入可用清單時意外限制服務行為，請使用值群組或使用代表您要定義的整個地理界線的 allowed_values 清單。

如要設定包含資源位置限制的機構政策：

name: organizations/ORGANIZATION_ID/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

gcloud org-policies set-policy POLICY_PATH

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

curl -X POST -H "Content-Type: application/json" -H "Authorization: \
Bearer ${bearer_token}" -d '{policy: {etag: "BwVtXec438Y=", constraint: \
"constraints/gcp.resourceLocations", list_policy: {denied_values: \
["in:europe-locations", "in:southamerica-locations"] }}}' \
https://cloudresourcemanager.googleapis.com/v1/organizations/123456789:setOrgPolicy

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:europe-locations
      - in:southamerica-locations

如要瞭解如何在組織政策中使用限制，請參閱使用限制。

在機構政策中使用沿用

您可以修正機構政策，以繼承資源的父項節點機構政策。沿用讓您可以精確控制在整個資源階層中使用的機構政策。

如要在資源節點上啟用沿用，請在機構政策 YAML 檔案中設定 inheritFromParent = true。例如：

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  inheritFromParent: true
  rules:
  - values:
      deniedValues:
      - in:us-west1

錯誤訊息示例

如果服務支援資源位置限制，就無法在違反限制的位置建立新資源。如果服務嘗試在違反限制的位置建立資源，系統會產生錯誤訊息，並拒絕該要求。

這則錯誤訊息的格式如下： LOCATION_IN_REQUEST violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_TESTED.

在下列範例中，由於政策強制執行，Compute Engine 資源無法建立新的執行個體：

Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations
on the resource
projects/policy-violation-test/zones/us-east1-b/instances/instance-3.

Google Cloud Observability 和 Cloud 稽核記錄的記錄項目：

{
 insertId: "5u759gdngec"
 logName: "projects/policy-violation-test/logs/cloudaudit.googleapis.com%2Factivity"
 protoPayload: {
  @type: "type.googleapis.com/google.cloud.audit.AuditLog"
  authenticationInfo: {…}
  authorizationInfo: [6]
  methodName: "beta.compute.instances.insert"
  request: {…}
  requestMetadata: {…}
  resourceLocation: {…}
  resourceName: "projects/policy-violation-test/zones/us-east1-b/instances/instance-3"
  response: {
   @type: "type.googleapis.com/error"
   error: {
    code: 412
    errors: [
     0: {
      domain: "global"
      location: "If-Match"
      locationType: "header"
      message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
      reason: "conditionNotMet"
     }
    ]
    message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
   }
  }
  serviceName: "compute.googleapis.com"
  status: {
   code: 3
   message: "INVALID_ARGUMENT"
  }
 }
 receiveTimestamp: "2019-06-14T03:04:23.660988360Z"
 resource: {
  labels: {…}
  type: "gce_instance"
 }
 severity: "ERROR"
 timestamp: "2019-06-14T03:04:22.783Z"
}

安全漏洞發現項目和修復

資源位置限制會在執行階段限制資源的建立位置。 這項功能有助於避免發生地點違規情形，但不會找出或修正現有的違規問題。您可以透過 Security Command Center 的內建服務「安全狀態分析」，找出資源階層中的位置違規事項。詳情請參閱「機構政策安全漏洞發現結果」。

如果安全狀態分析發現有位置違規事項，請參閱「修正安全狀態分析發現項目」，瞭解如何修正這些發現項目。

值組搭配

值組搭配是由 Google 收錄的群組和位置的集合，提供簡易定義資源位置的方法。值組搭配包含許多相關位置，並且會隨著時間的演進而不斷擴展，所以無需更改您的機構政策來配合新位置。

如要在機構政策中使用值組，請先輸入 in: 字串再輸入值組。要進一步瞭解如何使用值前置字串，請參閱使用限制一文。在設定機構政策的呼叫中會驗證群組名稱。使用無效的群組名稱會導致政策設定失敗。

下表包含目前可用群組的清單：

驗證

機構政策服務使用 OAuth 2.0 進行 API 身分驗證和授權。要取得 OAuth 2.0 不記名憑證：

1. 前往 OAuth 2.0 Playground 頁面。

2. 在「Step 1」所列的範圍中，選取 [Cloud Resource Manager API v2] > [https://www.googleapis.com/auth/cloud-platform]，然後點選 [Authorize APIs]。

3. 在「Sign in with Google」(使用 Google 帳戶登入) 頁面上，選擇您的帳戶並登入。

4. 要提供對 Google Oauth 2.0 Playground 的存取權限，在出現的提示上點選 [Allow]。

5. 在「Step 2」，點選 [Exchange authorization code for tokens]。

6. 在右側「Request / Response」窗格的底部，會顯示您的存取憑證字串。

   {
     "access_token": "ACCESS_TOKEN",
     "token_type": "Bearer",
     "expires_in": 3600
   }
   

   其中「ACCESS_TOKEN」ACCESS_TOKEN是可用於 API 授權的 OAuth 2.0 不記名憑證字串。