按照網域設定身分限制

您可以透過「網域限定共用」功能，根據網域或機構資源限制資源共用。啟用網域限定共用後，只有屬於允許網域或機構的主體，才能在 Google Cloud 機構中獲派 IAM 角色。

您可以使用三種機構政策，依網域限制身分：

• iam.managed.allowedPolicyMembers 代管限制
• 參照iam.googleapis.com/AllowPolicy資源的自訂機構政策
• iam.allowedPolicyMemberDomains舊版代管限制

事前準備

選擇要使用哪種方法實作網域限定共用功能。如要進一步瞭解每種方法的優缺點，請參閱「依網域限制共用的方法」。

必要的角色

如要取得強制執行網域限定共用功能所需的權限，請要求管理員授予您機構的組織政策管理員 (roles/orgpolicy.policyAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

使用 iam.managed.allowedPolicyMembers 限制實施網域限定共用

POST https://orgpolicy.googleapis.com/v2/{parent=organizations/ORGANIZATION_ID}/policies

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "enforce": true,
        "parameters": {
          "allowedMemberSubjects": [
            "ALLOWED_MEMBER_1",
            "ALLOWED_MEMBER_2"
          ],
          "allowedPrincipalSets": [
            "ALLOWED_PRINCIPAL_SET_1",
            "ALLOWED_PRINCIPAL_SET_2"
          ]
        }
      }
    ]
  }
}

使用自訂機構政策實施網域限制共用

1. 建立自訂限制，限制可在機構中授予角色的主體：

   1. 使用 memberInPrincipalSet CEL 函式搭配機構主體集，限制角色授予對象為機構成員。如要瞭解如何找出機構 ID，請參閱「擷取機構資源 ID」。

      舉例來說，下列限制條件會將角色授予對象限制為貴機構的成員：

      name: organizations/ORG_ID/customConstraints/custom.allowInternalIdentitiesOnly
      methodTypes:
        - CREATE
        - UPDATE
      condition:
        "resource.bindings.all(
          binding,
          binding.members.all(member,
            MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
          )
        )"
      actionType: ALLOW
      displayName: Only allow organization members to be granted roles
      

   2. 您可以視需要新增以邏輯運算子 (&&、|| 或 !) 聯結的額外 CEL 函式，進一步調整限制。您可以新增下列任一函式：

      • memberInPrincipalSet
      • memberTypeMatches
      • memberSubjectMatches

      舉例來說，下列限制條件會將角色授予對象限制為貴機構的成員和 admin@example.com：

      name: organizations/ORG_ID/customConstraints/custom.allowInternalIdentitiesOnly
      methodTypes:
        - CREATE
        - UPDATE
      condition:
        "resource.bindings.all(
          binding,
          binding.members.all(member,
            (
              MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
              ||
              MemberSubjectMatches(member, ['user:admin@example.com'])
            )
          )
        )"
      actionType: ALLOW
      displayName: Only allow organization members and service agents to be granted roles
      

2. 設定自訂限制：

   為新的自訂限制建立 YAML 檔案後，您必須進行設定，才能在貴機構的機構政策中使用該檔案。如要設定自訂限制，請使用 gcloud org-policies set-custom-constraint 指令：

   gcloud org-policies set-custom-constraint CONSTRAINT_PATH

   將 CONSTRAINT_PATH 替換為自訂限制檔案的完整路徑。例如：/home/user/customconstraint.yaml。 完成後，自訂限制就會顯示在 Google Cloud 機構政策清單中，做為機構政策使用。如要確認自訂限制存在，請使用 gcloud org-policies list-custom-constraints 指令：

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

   將 ORGANIZATION_ID 替換為機構資源的 ID。 詳情請參閱「查看機構政策」。

3. 強制執行自訂機構政策：

   如要強制執行限制，請建立參照該限制的機構政策，然後將該政策套用至 Google Cloud 資源。

   控制台

   1. 前往 Google Cloud 控制台的「Organization policies」(組織政策) 頁面。

      前往「機構政策」

   2. 在專案選擇工具中，選取要設定機構政策的專案。
   3. 在「Organization policies」(機構政策) 頁面上的清單中選取限制條件，即可查看該限制條件的「Policy details」(政策詳情) 頁面。
   4. 如要設定這項資源的機構政策，請按一下「管理政策」。
   5. 在「編輯政策」頁面中，選取「覆寫上層政策」。
   6. 按一下「新增規則」。
   7. 在「Enforcement」(強制執行) 區段中，選取是否要強制執行這項機構政策。
   8. 選用：如要根據標記設定機構政策條件，請按一下「新增條件」。請注意，如果將條件式規則新增至組織政策，您必須新增至少一項無條件規則，否則無法儲存政策。詳情請參閱「使用標記設定組織政策」。
   9. 按一下「測試變更」，模擬機構政策的影響。舊版受管理限制不支援政策模擬。詳情請參閱「 使用 Policy Simulator 測試組織政策變更」。
   10. 如要完成並套用機構政策，請按一下「設定政策」。這項政策最多需要 15 分鐘才會生效。

   gcloud

   如要建立含有布林值規則的機構政策，請建立參照限制的政策 YAML 檔案：

         name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
         spec:
           rules:
           - enforce: true
       

   取代下列項目：

   • PROJECT_ID：要強制執行限制的專案。
   • CONSTRAINT_NAME：要強制執行的限制名稱。例如：compute.disableAllIpv6。

   如要強制執行包含限制的機構政策，請執行下列指令：

       gcloud org-policies set-policy POLICY_PATH
       

   將 POLICY_PATH 替換為機構政策 YAML 檔案的完整路徑。這項政策最多需要 15 分鐘才會生效。

使用 iam.allowedPolicyMemberDomains 限制實施網域限定共用

網域限制是舊版受管理限制，具有清單constraint_type。Google Workspace 客戶 ID 和機構資源 ID 可從網域限制 allowed_values 清單中新增或移除。 Google Cloud 網域限制條件不支援拒絕值，且機構政策無法儲存 denied_values 清單中的 ID。

機構政策會允許 allowed_values 中列出的所有與 Google Workspace 帳戶或機構資源相關聯的網域。機構政策會拒絕所有其他網域。

您可以根據支援資源清單中包含的任何資源，制定機構政策來強制執行網域限制。例如 Cloud Storage 值區、BigQuery 資料集或 Compute Engine VM。

gcloud org-policies set-policy POLICY_PATH

name: organizations/ORGANIZATION_ID/policies/iam.allowedPolicyMemberDomains
spec:
  rules:
  - condition: # This condition applies to the values block.
      expression: "resource.matchTag('ORGANIZATION_ID/environment', 'dev')"
    values:
      allowedValues:
      - PRINCIPAL_SET
  - values:
      allowedValues:
      - PRINCIPAL_SET

套用此機構政策後，允許政策只允許屬於 allowed_values 清單上機構資源 ID 或 Google Workspace 網域的身分。Google Workspace 人類使用者和群組必須是該機構資源的子項或該 Google Workspace 網域的一部分，且 IAM 服務帳戶必須是與指定 Google Workspace 網域相關聯的機構資源子項。

舉例來說，如果您建立的機構政策僅包含公司的 Google Workspace 客戶 ID，則從此只有該網域中的主體能加入允許政策中。

錯誤訊息示例

當嘗試新增不在 allowed_values 清單上的主體而違反iam.allowedPolicyMemberDomains舊版受管理限制時，作業將會失敗且會顯示錯誤訊息。

ERROR: (gcloud.projects.set-iam-policy) FAILED_PRECONDITION:
One or more users named in the policy do not belong to a permitted customer.

擷取機構資源 ID

您可以使用 Google Cloud 控制台、gcloud CLI 或 Cloud Resource Manager API 取得機構資源 ID。

gcloud organizations list

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

取得機構資源 ID 後，您需要為所屬主體集使用正確的 ID。例如：

principalSet://iam.googleapis.com/organizations/01234567890123

如要進一步瞭解 IAM 主體 ID，請參閱主體 ID。

擷取 Google Workspace 客戶 ID

用於網域限制的 Google Workspace 客戶 ID 可用兩種方式取得：

gcloud organizations list

設定網域限定共用功能的例外狀況

部分 Google Cloud 服務會使用服務帳戶、服務代理程式和其他帳戶，代表您執行動作。網域限制共用功能可能會導致這些帳戶無法自動取得所需的 IAM 角色，進而導致特定動作失敗。

下表列出 Google Cloud 可能受到網域限制共用功能影響的動作。並列出需要自動授予角色的帳戶，這些動作才能順利完成。

如果您使用自訂機構政策或 iam.managed.allowedPolicyMembers 受管理限制條件，實作網域限定共用功能，請考慮將這些帳戶新增為網域限定共用限制條件的例外狀況。如要將帳戶新增為例外狀況，請將帳戶的主體 ID 新增至允許的成員清單。

如果您使用 iam.allowedPolicyMemberDomains 舊版受管理限制來實作網域限定共用，則可能需要強制帳戶存取權，這些帳戶才能執行所列動作。

Cloud Run 公用服務

Cloud Run 可讓您公開服務。 不過，如果您實作網域限定共用，貴機構外部的使用者就無法存取公開的 Cloud Run 服務。

如要允許使用者存取公開 Cloud Run 服務，您必須為 Cloud Run 服務停用 Cloud Run Invoker IAM 檢查。詳情請參閱「為服務停用 Cloud Run Invoker」。

公開分享其他資料

如果您使用自訂機構政策實作網域限定共用，可以為機構政策新增例外狀況，允許公開共用資料。

公開分享資料時，會涉及特殊主體 allUsers 和 allAuthenticatedUsers。如果您在使用網域限制共用功能時，需要公開共用資料，則必須為這些主體新增例外狀況。只有在使用自訂機構政策實作網域限定共用時，才能新增例外狀況。

如要為 allUsers 和 allAuthenticatedUsers 新增例外狀況，請在限制的條件運算式中使用 memberSubjectMatches CEL 函式。

舉例來說，下列條件運算式會將角色授予限制為機構「allUsers」和「allAuthenticatedUsers」的成員：

name: organizations/ORG_ID/customConstraints/custom.allowInternalAndSpecialIdentitiesOnly
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      (
        MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
        ||
        MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
      )
    )
  )"
actionType: ALLOW
displayName: Only allow organization members, allusers, and allAuthenticatedUsers to be granted roles

帳戶強制存取

如果您需要強制執行違反網域限制的專案帳戶存取：

1. 移除包括網域限制的機構政策。

2. 授予帳戶存取專案的權限。

3. 再次在機構政策中實施網域限制。

或者，您也可以將存取權授予包含相關服務帳戶的 Google 群組：

1. 在允許的網域內建立一個 Google 群組。

2. 使用 Google Workspace 管理員面板關閉該群組的網域限制。

3. 將服務帳戶新增至群組。

4. 在允許政策中將存取權授予 Google 群組。