Identitäten nach Domain einschränken

Mit der domaineingeschränkten Freigabe können Sie die Ressourcenfreigabe auf Grundlage einer Domain oder Organisationsressource einschränken. Wenn die domaineingeschränkte Freigabe aktiv ist, können nur Hauptkonten, die zu zulässigen Domains oder Organisationen gehören, IAM-Rollen in Ihrer Google Cloud -Organisation erhalten.

Es gibt drei Arten von Organisationsrichtlinien, mit denen Sie Identitäten nach Domain einschränken können:

• Die verwaltete Beschränkung iam.managed.allowedPolicyMembers
• Benutzerdefinierte Organisationsrichtlinien, die auf die iam.googleapis.com/AllowPolicy-Ressource verweisen
• Die verwaltete Legacy-Beschränkung iam.allowedPolicyMemberDomains

Hinweise

Wählen Sie die Methode aus, mit der Sie die domaineingeschränkte Freigabe implementieren möchten. Weitere Informationen zu den Vor- und Nachteilen der einzelnen Methoden finden Sie unter Methoden zum Einschränken der Freigabe nach Domain.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Organisationsrichtlinienadministrator (roles/orgpolicy.policyAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erzwingen der domainbeschränkten Freigabe benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Domaineingeschränkte Freigabe mit der Einschränkung iam.managed.allowedPolicyMembers implementieren

POST https://orgpolicy.googleapis.com/v2/{parent=organizations/ORGANIZATION_ID}/policies

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "enforce": true,
        "parameters": {
          "allowedMemberSubjects": [
            "ALLOWED_MEMBER_1",
            "ALLOWED_MEMBER_2"
          ],
          "allowedPrincipalSets": [
            "ALLOWED_PRINCIPAL_SET_1",
            "ALLOWED_PRINCIPAL_SET_2"
          ]
        }
      }
    ]
  }
}

Benutzerdefinierte Organisationsrichtlinien verwenden, um die domaineingeschränkte Freigabe zu implementieren

1. Erstellen Sie eine benutzerdefinierte Einschränkung, die einschränkt, welchen Hauptkonten Rollen in Ihrer Organisation zugewiesen werden können:

   1. Verwenden Sie die CEL-Funktion memberInPrincipalSet mit dem Hauptkonto Ihrer Organisation, um die Rollenzuweisung auf Mitglieder in Ihrer Organisation zu beschränken. Informationen zum Abrufen Ihrer Organisations-ID finden Sie unter Organisations-Ressourcen-ID abrufen.

      Die folgende Einschränkung beschränkt beispielsweise die Zuweisung von Rollen auf Mitglieder Ihrer Organisation:

      name: organizations/ORG_ID/customConstraints/custom.allowInternalIdentitiesOnly
      methodTypes:
        - CREATE
        - UPDATE
      condition:
        "resource.bindings.all(
          binding,
          binding.members.all(member,
            MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
          )
        )"
      actionType: ALLOW
      displayName: Only allow organization members to be granted roles
      

   2. Optional können Sie die Einschränkung verfeinern, indem Sie zusätzliche CEL-Funktionen hinzufügen, die mit logischen Operatoren (&&, || oder !) verknüpft werden. Sie können eine der folgenden Funktionen hinzufügen:

      • memberInPrincipalSet
      • memberTypeMatches
      • memberSubjectMatches

      Die folgende Einschränkung beschränkt beispielsweise die Zuweisung von Rollen auf Mitglieder in Ihrer Organisation und auf admin@example.com:

      name: organizations/ORG_ID/customConstraints/custom.allowInternalIdentitiesOnly
      methodTypes:
        - CREATE
        - UPDATE
      condition:
        "resource.bindings.all(
          binding,
          binding.members.all(member,
            (
              MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
              ||
              MemberSubjectMatches(member, ['user:admin@example.com'])
            )
          )
        )"
      actionType: ALLOW
      displayName: Only allow organization members and service agents to be granted roles
      

2. Richten Sie die benutzerdefinierte Einschränkung ein:

   Nachdem Sie die YAML-Datei für eine neue benutzerdefinierte Einschränkung erstellt haben, müssen Sie sie einrichten, um sie für Organisationsrichtlinien in Ihrer Organisation verfügbar zu machen. Verwenden Sie zum Einrichten einer benutzerdefinierten Einschränkung den Befehl gcloud org-policies set-custom-constraint:

   gcloud org-policies set-custom-constraint CONSTRAINT_PATH

   Ersetzen Sie CONSTRAINT_PATH durch den vollständigen Pfad zu Ihrer benutzerdefinierten Einschränkungsdatei. Beispiel: /home/user/customconstraint.yaml Nach Abschluss des Vorgangs sind Ihre benutzerdefinierten Einschränkungen als Organisationsrichtlinien in der Liste der Google Cloud Organisationsrichtlinien verfügbar. Prüfen Sie mit dem Befehl gcloud org-policies list-custom-constraints, ob die benutzerdefinierte Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

   Ersetzen Sie ORGANIZATION_ID durch die ID Ihrer Organisationsressource. Weitere Informationen finden Sie unter Organisationsrichtlinien aufrufen.

3. Benutzerdefinierte Organisationsrichtlinie erzwingen:

   Sie können eine Einschränkung erzwingen, indem Sie eine Organisationsrichtlinie erstellen, die darauf verweist, und diese Organisationsrichtlinie dann auf eine Google Cloud -Ressource anwenden.

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Organisationsrichtlinien auf.

      Zu den Organisationsrichtlinien

   2. Wählen Sie in der Projektauswahl das Projekt aus, für das Sie die Organisationsrichtlinie festlegen möchten.
   3. Wählen Sie auf der Seite Organisationsrichtlinien die gewünschte Einschränkung aus, um die Seite Richtliniendetails aufzurufen.
   4. Zum Konfigurieren der Organisationsrichtlinie für diese Ressource klicken Sie auf Richtlinie verwalten.
   5. Wählen Sie auf der Seite Richtlinie bearbeiten die Option Richtlinie der übergeordneten Ressource überschreiben aus.
   6. Klicken Sie auf Regel hinzufügen.
   7. Wählen Sie im Abschnitt Erzwingung aus, ob die Erzwingung dieser Organisationsrichtlinie aktiviert oder deaktiviert werden soll.
   8. Klicken Sie optional auf Bedingung hinzufügen, um die Organisationsrichtlinie von einem Tag abhängig zu machen. Wenn Sie einer Organisationsrichtlinie eine bedingte Regel hinzufügen, müssen Sie mindestens eine bedingungsfreie Regel hinzufügen oder die Richtlinie kann nicht gespeichert werden. Weitere Informationen finden Sie unter Organisationsrichtlinie mit Tags festlegen.
   9. Klicken Sie auf Änderungen testen, um die Auswirkungen der Organisationsrichtlinie zu simulieren. Die Richtliniensimulation ist für Legacy-Verwaltungseinschränkungen nicht verfügbar. Weitere Informationen finden Sie unter Änderungen an Organisationsrichtlinien mit dem Richtliniensimulator testen.
   10. Klicken Sie auf Richtlinie festlegen, um den Vorgang abzuschließen und die Organisationsrichtlinie anzuwenden. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.

   gcloud

   Wenn Sie eine Organisationsrichtlinie mit booleschen Regeln erstellen möchten, erstellen Sie eine YAML-Richtliniendatei, die auf die Einschränkung verweist:

         name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
         spec:
           rules:
           - enforce: true
       

   Ersetzen Sie Folgendes:

   • PROJECT_ID: das Projekt, für das Sie die Einschränkung erzwingen möchten
   • CONSTRAINT_NAME: der Name der Einschränkung, die Sie erzwingen möchten. Beispiel: compute.disableAllIpv6

   Führen Sie den folgenden Befehl aus, um die Organisationsrichtlinie mit der Einschränkung zu erzwingen:

       gcloud org-policies set-policy POLICY_PATH
       

   Ersetzen Sie POLICY_PATH durch den vollständigen Pfad zur YAML-Datei Ihrer Organisationsrichtlinie. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.

Domaineingeschränkte Freigabe mit der Einschränkung iam.allowedPolicyMemberDomains implementieren

Die Einschränkung für die Domaineinschränkung ist eine alte verwaltete Einschränkung mit der Liste constraint_type. Google Workspace-Kundennummern und Google Cloud -Organisationsressourcen-IDs können der Liste allowed_values einer Domaineinschränkung hinzugefügt und daraus entfernt werden. Die Domaineinschränkung unterstützt das Ablehnen von Werten nicht. Eine Organisationsrichtlinie kann nicht mit IDs in der Liste denied_values gespeichert werden.

Alle Domains, die mit einem in allowed_values aufgeführten Google Workspace-Konto oder einer Organisationsressource verknüpft sind, sind durch die Organisationsrichtlinie zulässig. Alle anderen Domains werden von der Organisationsrichtlinie abgelehnt.

Sie können eine Organisationsrichtlinie, die die Einschränkung für die Domain erzwingt, von jeder Ressource abhängig machen, die in der Liste der unterstützten Ressourcen enthalten ist. Dazu gehören beispielsweise Cloud Storage-Buckets, BigQuery-Datasets oder Compute Engine-VMs.

gcloud org-policies set-policy POLICY_PATH

name: organizations/ORGANIZATION_ID/policies/iam.allowedPolicyMemberDomains
spec:
  rules:
  - condition: # This condition applies to the values block.
      expression: "resource.matchTag('ORGANIZATION_ID/environment', 'dev')"
    values:
      allowedValues:
      - PRINCIPAL_SET
  - values:
      allowedValues:
      - PRINCIPAL_SET

Nur Identitäten, die zur Organisationsressourcen-ID oder Google Workspace-Domain aus der Liste der allowed_values gehören, werden in Zulassungsrichtlinien zugelassen, sobald diese Organisationsrichtlinie angewendet wurde. Nutzer und Gruppen von Google Workspace müssen untergeordnete Elemente dieser Organisationsressource oder Teil dieser Google Workspace-Domain sein und IAM-Dienstkonten müssen untergeordnete Elemente einer Organisationsressource sein, die mit der angegebenen Google Workspace-Domain verknüpft ist.

Wenn Sie beispielsweise eine Organisationsrichtlinie erstellt haben, die nur die Google Workspace-Kundennummer Ihres Unternehmens enthält, können ab diesem Punkt nur Hauptkonten dieser Domain zur Zulassungsrichtlinie hinzugefügt werden.

Beispiel für Fehlermeldung

Bei Verstoß gegen die alte verwaltete Einschränkung iam.allowedPolicyMemberDomains, d. h., wenn versucht wird, ein Hauptkonto hinzuzufügen, das nicht in der Liste der allowed_values enthalten ist, schlägt der Vorgang fehl und eine Fehlermeldung wird angezeigt.

ERROR: (gcloud.projects.set-iam-policy) FAILED_PRECONDITION:
One or more users named in the policy do not belong to a permitted customer.

Organisationsressourcen-ID abrufen

Sie können die ID Ihrer Organisationsressource über die Google Cloud -Konsole, die gcloud CLI oder die Cloud Resource Manager API abrufen.

gcloud organizations list

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

Nachdem Sie die Organisationsressourcen-ID haben, müssen Sie den richtigen Bezeichner für die zugehörige Gruppe von Identitäten verwenden. Beispiel:

principalSet://iam.googleapis.com/organizations/01234567890123

Weitere Informationen zu IAM-Hauptkonto-IDs finden Sie unter Hauptkonto-IDs.

Google Workspace-Kundennummer abrufen

Die von der Domaineinschränkung verwendete Google Workspace-Kundennummer kann auf zwei Arten abgerufen werden:

gcloud organizations list

Ausnahmen für die domaineingeschränkte Freigabe konfigurieren

Einige Google Cloud Dienste verwenden Dienstkonten, Dienst-Agents und andere Konten, um Aktionen in Ihrem Namen auszuführen. Durch die Einschränkung der Freigabe auf die Domain kann verhindert werden, dass diesen Konten automatisch die erforderlichen IAM-Rollen zugewiesen werden, was dazu führen kann, dass bestimmte Aktionen fehlschlagen.

In der folgenden Tabelle sind Aktionen in Google Cloud aufgeführt, die durch die domaineingeschränkte Freigabe beeinträchtigt werden könnten. Außerdem werden die Konten aufgeführt, denen automatisch Rollen zugewiesen werden müssen, damit diese Aktionen ausgeführt werden können.

Wenn Sie benutzerdefinierte Organisationsrichtlinien oder die verwaltete Einschränkung iam.managed.allowedPolicyMembers verwenden, um die domainbeschränkte Freigabe zu implementieren, sollten Sie diese Konten als Ausnahmen für die Einschränkung der domainbeschränkten Freigabe hinzufügen. Wenn Sie ein Konto als Ausnahme hinzufügen möchten, fügen Sie die Hauptkonto-ID des Kontos der Liste der zulässigen Mitglieder hinzu.

Wenn Sie die alte verwaltete Einschränkung iam.allowedPolicyMemberDomains verwenden, um die domänenbeschränkte Freigabe zu implementieren, müssen Sie möglicherweise den Kontozugriff erzwingen, damit diese Konten die aufgeführten Aktionen ausführen können.

Öffentliche Cloud Run-Dienste

Mit Cloud Run können Sie Dienste öffentlich machen. Wenn Sie jedoch die domaineingeschränkte Freigabe implementieren, können Nutzer außerhalb Ihrer Organisation nicht auf öffentliche Cloud Run-Dienste zugreifen.

Damit Nutzer auf öffentliche Cloud Run-Dienste zugreifen können, müssen Sie die IAM-Prüfung für Cloud Run Invoker für Cloud Run-Dienste deaktivieren. Weitere Informationen finden Sie unter Cloud Run Invoker für Dienste deaktivieren.

Andere Daten öffentlich freigeben

Wenn Sie benutzerdefinierte Organisationsrichtlinien verwenden, um die Freigabe mit Domaineinschränkung zu implementieren, können Sie Ihrer Organisationsrichtlinie eine Ausnahme hinzufügen, um die Freigabe öffentlicher Daten zu ermöglichen.

Für die öffentliche Freigabe von Daten sind die speziellen Identitäten allUsers und allAuthenticatedUsers erforderlich. Wenn Sie Daten öffentlich freigeben müssen, während Sie die Freigabe mit Domaineinschränkung verwenden, müssen Sie eine Ausnahme für diese Principals hinzufügen. Das Hinzufügen von Ausnahmen ist nur möglich, wenn Sie benutzerdefinierte Organisationsrichtlinien verwenden, um die domaineingeschränkte Freigabe zu implementieren.

Wenn Sie eine Ausnahme für allUsers und allAuthenticatedUsers hinzufügen möchten, verwenden Sie die CEL-Funktion memberSubjectMatches im Bedingungsausdruck der Einschränkung.

Der folgende Bedingungsausdruck beschränkt beispielsweise die Rollenzuweisung auf Mitglieder in Ihrer Organisation, allUsers und allAuthenticatedUsers:

name: organizations/ORG_ID/customConstraints/custom.allowInternalAndSpecialIdentitiesOnly
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      (
        MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
        ||
        MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
      )
    )
  )"
actionType: ALLOW
displayName: Only allow organization members, allusers, and allAuthenticatedUsers to be granted roles

Kontozugriff erzwingen

Wenn Sie den Kontozugriff für ein Projekt unter Verletzung von Domaineinschränkungen erzwingen müssen, gehen Sie so vor:

1. Entfernen Sie die Organisationsrichtlinie, die die Domaineinschränkung enthält.

2. Gewähren Sie Kontozugriff auf das Projekt.

3. Implementieren Sie die Organisationsrichtlinie mit der Domaineinschränkung noch einmal.

Alternativ können Sie einer Google-Gruppe, die die entsprechenden Dienstkonten enthält, Zugriff gewähren:

1. Erstellen Sie eine Google-Gruppe innerhalb der zugelassenen Domain.

2. Im Administratorbereich von Google Workspace können Sie die Domaineinschränkung für diese Gruppe deaktivieren.

3. Fügen Sie der Gruppe das Dienstkonto hinzu.

4. Gewähren Sie mithilfe der „allow“-Richtlinie Zugriff auf die Google-Gruppe.