创建自定义组织政策

本页面介绍了如何使用组织政策服务自定义限制条件来限制 对以下 Google Cloud 资源执行的特定操作：

  • developerconnect.googleapis.com/Connection
  • developerconnect.googleapis.com/GitRepositoryLink

例如，您可以创建自定义限制条件，以仅允许连接到一种类型的源代码管理平台（例如 GitHub）。或者，您可以创建自定义限制条件，以仅允许指定特定 Service Directory 资源的连接。通过要求使用 Service Directory 资源，您可以确保对第三方源代码管理工具的调用使用特定端点。

如需详细了解组织政策，请参阅 自定义组织政策。

组织政策和限制条件简介

借助 Google Cloud 组织政策服务，您可以对组织的资源进行程序化集中控制。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。

组织政策为各种 Google Cloud 服务提供预定义限制条件。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。

政策继承

如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策， Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。

准备工作

所需的角色

如需获得管理自定义组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

创建自定义限制条件

自定义限制条件是在 YAML 文件中，由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。

如需创建自定义限制条件，请使用以下格式创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

  • ORGANIZATION_ID：您的组织 ID，例如 123456789。

  • CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.onlyAllowGitHubConnection。该字段的最大长度为 70 个字符。

  • RESOURCE_NAME：包含要限制的对象和字段的Google Cloud 资源的完全限定名称。例如 developerconnect.googleapis.com/Connection。

  • CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。 如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。 例如 "has(resource.githubConfig)"。

  • ACTION：满足 condition 时要执行的操作。 可能的值为 ALLOW 和 DENY。

  • DISPLAY_NAME：限制条件的直观易记名称。此字段的最大长度为 200 个字符。

  • DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅定义自定义限制条件。

设置自定义限制条件

控制台

如需创建自定义限制条件，请执行以下操作：

  1. 在 Google Cloud 控制台中，转到组织政策页面。

    转到组织政策

  2. 在项目选择器中，选择要为其设置组织政策的项目。
  3. 点击 自定义限制条件。
  4. 在显示名称框中，为限制条件输入一个人类可读名称。此名称会在错误消息中使用，并可用于识别和调试用途。 请勿在显示名称中使用 个人身份信息 (PII) 或敏感数据，因为此 名称可能会在错误消息中公开。此字段最多可包含 200 个字符。
  5. 在限制条件 ID 框中，为新的自定义 限制条件输入所需的 ID。自定义限制条件只能包含字母（包括大写和小写）或 数字，例如 custom.onlyAllowGitHubConnection。此字段最多可包含 70 个字符，不计算前缀 (custom.)，例如 organizations/123456789/customConstraints/custom。请勿在限制条件 ID 中包含个人身份信息或敏感数据，因为该 ID 可能会在错误消息中公开。
  6. 在说明框中，输入人类可读的限制条件说明。当违反政策时，此说明将用作错误消息。请包含有关发生违规的原因以及如何解决违规问题的详细信息。请勿在说明中包含个人身份信息或敏感数据，因为该说明可能会在错误消息中公开。 此字段最多可包含 2000 个字符。
  7. 在资源类型框中，选择包含要限制的对象和字段的 Google Cloud REST 资源的名称，例如 container.googleapis.com/NodePool。大多数资源类型最多支持 20 个自定义限制条件。如果您尝试创建更多自定义限制条件，操作将会失败。
  8. 此限制条件 只能对 REST CREATE 方法强制执行。

    9. 如需查看每种服务支持的方法，请在 支持自定义限制条件的服务中找到相应服务。

  9. 如需定义条件，请点击 修改条件。
    1. 在添加条件面板中，创建一个引用受支持服务资源的 CEL 条件，例如 resource.management.autoUpgrade == false。此字段最多可包含 1,000 个字符。如需详细了解 CEL 用法，请参阅通用表达式语言。 如需详细了解可在自定义限制条件中使用的服务资源，请参阅自定义限制条件支持的服务。
    2. 点击保存。
  10. 在操作下，选择在满足条件时是允许还是拒绝评估的方法。

    11. 拒绝操作意味着，如果条件计算结果为 true，则创建或更新资源的操作会被阻止。

    允许操作意味着，仅当条件计算结果为 true 时，才允许执行创建或更新资源的操作。除了条件中明确列出的情况之外，其他所有情况都会被阻止。

  11. 点击创建限制条件 。

    12. 在每个字段中输入值后，右侧将显示此自定义限制条件的等效 YAML 配置。

gcloud

  1. 如需创建自定义限制条件，请使用以下格式创建 YAML 文件： 
    2. name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

    请替换以下内容：