在试运行模式下创建组织政策

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 在项目选择器中，选择要为其设置组织政策的资源。

3. 在组织政策页面上，从列表中选择限制协议转发的使用这一限制。

4. 选择试运行标签页。

5. 点击管理试运行政策。

6. 在修改预演政策页面，选择覆盖父资源的政策。

7. 点击添加规则。

8. 在实施下，选择开启。

9. 在参数下，选择修改 edit。

10. 在修改形参值窗格中，选择用户定义。

11. 在用户定义的值框中，输入 EXTERNAL，然后点击保存。

12. 点击测试更改以模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。

13. 如需在试运行模式下强制执行组织政策，请点击设置试运行政策。您也可以点击设置政策来设置直播政策。

您可以前往组织政策限制条件的试运行标签页，验证组织政策在试运行模式下的状态。

对于应用了处于试运行模式的组织政策的项目，您可以点击查看拒绝日志来查看审核日志。对于此组织政策，审核日志会显示违规情况，就好像强制执行了限制协议转发的使用限制条件，以仅允许 EXTERNAL 协议转发部署。

gcloud

如需在试运行模式下创建组织政策，请创建一个 YAML 文件，其中使用 dryRunSpec 定义限制条件。例如：

  name: RESOURCE_TYPE/RESOURCE_ID/policies/compute.managed.restrictProtocolForwardingCreationForTypes
  dryRunSpec:
    rules:
    - enforce: true
      parameters:
       allowedSchemes:
        - EXTERNAL

替换以下内容：

• 将 RESOURCE_TYPE 替换为 organizations、folders 或 projects。

• RESOURCE_ID 替换为您的组织 ID、文件夹 ID、项目 ID 或项目编号，具体取决于在 RESOURCE_TYPE 中指定的资源类型。

此组织政策不会强制执行 compute.managed.restrictProtocolForwardingCreationForTypes 限制条件，但审核日志会显示违规情况，就好像它强制执行了该限制条件一样。

如果您同时定义了 spec 和 dryRunSpec，则可以在同一 YAML 文件中设置有效组织政策和试运行组织政策。例如：

name: RESOURCE_TYPE/RESOURCE_ID/policies/compute.managed.restrictProtocolForwardingCreationForTypes
spec:
  rules:
  - values:
      allowedValues:
      - INTERNAL
      - EXTERNAL

dryRunSpec:
  rules:
  - values:
      allowedValues:
      - INTERNAL

如需在试运行模式下强制执行组织政策，请使用 org-policies set policy 命令。如需在预运行模式下使用新限制条件更新现有组织政策，请使用 --update-mask 标志。例如：

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=UPDATE_MASK

替换以下内容：

• POLICY_PATH 替换为组织政策 YAML 文件的完整路径。

• UPDATE_MASK，使用 spec 仅更新实时政策，或使用 dryRunSpec 仅以试运行模式更新组织政策。您还可以使用 * 同时更新 spec 和 dryRunSpec 字段。如果在更新现有组织政策时未设置此字段，此命令将导致错误，并且组织政策不会更新。

您可以使用 org-policies describe 命令验证是否已设置处于试运行模式的组织政策。只有当组织政策中存在 dryRunSpec 字段时，该字段才会显示。

此组织政策将强制执行 compute.managed.restrictProtocolForwardingCreationForTypes 限制条件，以便允许所有值。不过，审核日志会显示违规情况，就好像只允许 INTERNAL 协议转发部署一样。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 在项目选择器中，选择要为其设置组织政策的资源。

3. 从组织政策页面上的列表中选择要强制执行的自定义组织政策。

4. 选择试运行标签页。

5. 点击管理试运行政策。

6. 在修改试运行政策页面，选择覆盖父资源的政策。

7. 点击添加规则。

8. 在强制执行下，选择开启，然后点击完成。

9. 如需在试运行模式下强制执行组织政策，请点击设置试运行政策。验证以预运行模式运行的组织政策是否按预期工作后，您可以点击设置政策来设置有效政策。

您可以前往组织政策限制条件的试运行标签页，验证组织政策在试运行模式下的状态。

对于应用了处于试运行模式的组织政策的项目，您可以点击查看拒绝日志来查看审核日志。对于此组织政策，审核日志会显示违规情况，就好像强制执行了自定义组织政策一样。

gcloud

如需在试运行模式下创建组织政策，请创建一个 YAML 文件，其中使用 dryRunSpec 定义限制条件。例如：

  name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME
  dryRunSpec:
    rules:
    - enforce: true

替换以下内容：

• 将 RESOURCE_TYPE 替换为 organizations、folders 或 projects。

• RESOURCE_ID 替换为您的组织 ID、文件夹 ID、项目 ID 或项目编号，具体取决于在 RESOURCE_TYPE 中指定的资源类型。

• 将 CONSTRAINT_NAME 替换为自定义限制的名称。例如 custom.disableGkeAutoUpgrade。

此组织政策不会强制执行自定义限制条件，但审核日志会显示违规情况，就好像它强制执行了自定义限制条件一样。

如果您同时定义了 spec 和 dryRunSpec，则可以在同一 YAML 文件中设置实时组织政策和处于试运行模式的组织政策。例如：

name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: false

dryRunSpec:
  rules:
  - enforce: true

如需在试运行模式下强制执行组织政策，请使用 org-policies set policy 命令。如需在预运行模式下使用新限制条件更新现有组织政策，请使用 --update-mask 标志。例如：

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=UPDATE_MASK

替换以下内容：

• POLICY_PATH 替换为组织政策 YAML 文件的完整路径。

• UPDATE_MASK，使用 spec 仅更新实时政策，或使用 dryRunSpec 仅以试运行模式更新组织政策。您还可以使用 * 同时更新 spec 和 dryRunSpec 字段。如果在更新现有组织政策时未设置此字段，此命令将导致错误，并且组织政策不会更新。

您可以使用 org-policies describe 命令验证是否已设置处于模拟运行模式下的组织政策。只有当组织政策中存在 dryRunSpec 字段时，该字段才会显示。

此组织政策不会强制执行自定义限制条件。不过，审核日志会显示自定义约束条件的违规情况。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 在项目选择器中，选择已配置限制资源服务使用情况限制条件的资源。

3. 在组织政策页面上，选择列表中的限制资源服务使用这一限制。

4. 选择直播标签页。

5. 点击管理政策。

6. 点击添加规则。

7. 在政策值中，选择自定义。

8. 在政策类型中，选择拒绝。

9. 在自定义值框中，输入 appengine.googleapis.com。

10. 点击完成，然后点击设置试运行政策。

gcloud

如需基于现有的有效组织政策以试运行模式创建组织政策，请使用 org-policies describe 命令获取资源的当前政策。例如：

gcloud org-policies describe gcp.restrictServiceUsage \
  --project=PROJECT_ID

将 PROJECT_ID 替换为配置相应组织政策的项目的 ID 或项目编号。

输出应类似如下所示：

  name: projects/123456789012/policies/gcp.restrictServiceUsage
  spec:
    etag: CJy93KEGEKCJw/QB
    rules:
    - values:
        allowedValues:
        - compute.googleapis.com
  updateTime: '2023-04-12T21:11:56.512804Z'

将此命令的输出复制到临时文件中。修改此文件以移除 etag 和 updateTime 字段，并将 spec 字段更改为 dryRunSpec。以试运行模式对组织政策中要测试的限制条件配置进行任何更改。

完成后的 YAML 文件应类似于以下内容：

  name: projects/123456789012/policies/gcp.restrictServiceUsage
  dryRunSpec:
    rules:
    - values:
        allowedValues:
        - compute.googleapis.com
        - appengine.googleapis.com

如需在试运行模式下强制执行组织政策，请使用带有 --update-mask 标志的 org-policies set policy。例如：

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=dryRunSpec

将 POLICY_PATH 替换为临时组织政策 YAML 文件的完整路径。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 在项目选择器中，选择要为其设置组织政策的资源。

3. 在组织政策页面上，选择列表中的限制资源服务使用这一限制。

4. 选择试运行标签页。

5. 点击删除试运行政策。

gcloud

如需在试运行模式下删除组织政策，请创建一个 YAML 文件，用于定义不含试运行规范的组织政策。例如：

  name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
  spec:
    rules:
    - values:
        allowedValues:
        - container.googleapis.com

替换以下内容：

• 将 RESOURCE_TYPE 替换为 organizations、folders 或 projects。

• RESOURCE_ID 替换为您的组织 ID、文件夹 ID、项目 ID 或项目编号，具体取决于在 RESOURCE_TYPE 中指定的资源类型。

然后，使用 org-policies set policy 命令，并将 --update-mask 标志设置为 dryRunSpec。例如：

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=dryRunSpec

此命令会更新现有组织政策，以移除试运行规范并忽略规范的实际运行部分。

如需同时删除有效的组织政策和处于预演模式的组织政策，请使用 org-policies delete 命令。例如：

gcloud org-policies delete CONSTRAINT_NAME \
  --RESOURCE_TYPE=RESOURCE_ID

替换以下内容：

• 将 CONSTRAINT_NAME 替换为您要删除的限制的名称。例如 gcp.restrictServiceUsage。

• 将 RESOURCE_TYPE 替换为 organizations、folders 或 projects。

• RESOURCE_ID 替换为您的组织 ID、文件夹 ID、项目 ID 或项目编号，具体取决于在 RESOURCE_TYPE 中指定的资源类型。

控制台

在 Google Cloud 控制台中，您可以使用 Logs Explorer 来检索 Google Cloud 项目、文件夹或组织的审核日志条目：

1. 在 Google Cloud 控制台中，前往 Logging> 日志浏览器页面。

   转到日志浏览器

2. 选择现有的 Google Cloud 项目、文件夹或组织。

3. 在查询构建器窗格中，执行以下操作：

   • 在资源类型中，选择要查看其审核日志的 Google Cloud 资源。

   • 在日志名称中，选择政策审核日志类型。

   • 在查询窗格中，输入以下内容： protoPayload.metadata.dryRunResult = "DENIED" AND \ protoPayload.metadata.liveResult = "ALLOWED"

   如果您在尝试从日志浏览器中查看日志时遇到问题，请参阅问题排查信息。

   如需详细了解如何使用日志浏览器进行查询，请参阅在日志浏览器中构建查询。

gcloud

Google Cloud CLI 为 Logging API 提供了命令行界面。在每个日志名称中提供有效的资源标识符。例如，如果您的查询包含项目 ID，则您提供的项目标识符必须引用当前选定的项目名称。

如需读取模拟运行模式下组织政策违规的审核日志条目，请运行以下命令：

gcloud logging read protoPayload.metadata.dryRunResult = "DENIED" AND \
      protoPayload.metadata.liveResult = "ALLOWED" \
    --RESOURCE_TYPE=RESOURCE_ID \

替换以下内容：

• 将 RESOURCE_TYPE 替换为 organization、folder 或 project。

• RESOURCE_ID 替换为您的组织 ID、文件夹 ID、项目 ID 或项目编号，具体取决于在 RESOURCE_TYPE 中指定的资源类型。

向命令添加 --freshness 标志可读取超过 1 天的日志。

如需详细了解如何使用 gcloud CLI，请参阅 gcloud logging read。