端點用量限制

本頁面概略介紹限制端點用量 組織政策限制，企業管理員可透過這項限制，控管 Cloud de Confiance 資源階層中可使用的 Cloud de Confiance by S3NS API 端點。

管理員可以使用這項限制，定義允許的 Cloud de Confiance by S3NS API 端點 (例如全域、位置或區域端點) 的階層限制。舉例來說，您可以設定專案，拒絕對全域 bigquery.googleapis.com 端點的要求，但允許對位置 LOCATION-bigquery.googleapis.com 端點的要求。限制全域 API 端點用量，可確保只使用允許的位置或區域端點，進而符合法規遵循要求。

「限制端點用量」限制是使用拒絕清單設定，允許對任何支援服務的 API 端點提出要求，只要這些端點未明確列入拒絕清單即可。

這項限制會控管所有適用範圍內資源的執行階段存取權。當含有這項限制的組織政策更新時，系統會立即將政策套用至政策範圍內的所有資源，並最終保持一致性。

建議管理員謹慎管理含有這項限制的組織政策更新。舉例來說，您應考慮先以模擬測試模式設定政策，監控政策變更對現有工作流程的影響，再強制執行政策。

API 端點類型

API 端點 (或服務端點) 是指定 Cloud de Confiance by S3NS API 服務網路位址的網址，例如 bigquery.googleapis.com。Cloud de Confiance by S3NS 服務允許使用不同類型的 API 端點存取資源，包括全域、位置和區域端點。支援的類型會因服務而異。

全域 API 端點

全域 API 端點不會在網址主機名稱中指定位置。這些全域範圍的端點提供高可用性服務端點，可盡可能在靠近用戶端的位置終止 TLS 工作階段，在透過網際網路為分散的用戶端群體提供 API 呼叫時，盡可能縮短延遲時間。不過，這些端點不提供任何區域隔離或資料落地法規遵循。

如果應用程式可以處理全域依附元件，且需要 Google 全球網路提供快速效能，則可使用全域端點。

全域端點的格式如下：

SERVICE.googleapis.com

其中 SERVICE 是 Cloud de Confiance by S3NS 服務的名稱，例如 storage、compute 或 bigquery。

位置 API 端點

區域 API 端點將取代位置端點。 位置端點是區域或多區域服務主機名稱，可用於存取特定位置的資料。

不過，位置端點不支援下列功能：

• 從地端部署環境透過網際網路建立符合資料落地規定的連線
• 故障域隔離

位置端點會指定網址主機名稱中的位置，格式如下：

LOCATION-SERVICE.googleapis.com

• LOCATION： Cloud de Confiance by S3NS 區域名稱，例如 us-central1、europe-west1 或 us。
• SERVICE： Cloud de Confiance by S3NS 服務的名稱，例如 storage、compute 或 bigquery。

區域 API 端點

區域 API 端點可讓您透過範圍限定在單一 Cloud de Confiance by S3NS 區域的 API 端點，存取 Cloud de Confiance by S3NS 服務。傳送至區域端點的流量會在指定區域內完成處理和 TLS 終止。

對於大多數 Cloud de Confiance by S3NS 服務，您可以使用區域端點，在指定區域內處理區域資源。區域端點通常不支援對全域資源、多區域資源和區域外區域資源執行的作業。

區域 API 端點會將位置指定為子網域。公開區域端點的格式如下：

SERVICE.REGION.rep.googleapis.com

• SERVICE： Cloud de Confiance by S3NS 服務的名稱，例如 storage、compute 或 bigquery。
• REGION： Cloud de Confiance by S3NS 區域名稱，例如 us-central1 或 europe-west1。

私人區域性 API 端點的格式如下：

SERVICE.REGION.p.rep.googleapis.com

• SERVICE： Cloud de Confiance by S3NS 服務的名稱，例如 storage、compute 或 bigquery。
• REGION： Cloud de Confiance by S3NS 區域名稱，例如 us-central1 或 europe-west1。
• .p.：表示適用於 Private Service Connect 連線的私人目標。

限制

「端點用量限制」限制可控管是否能使用特定 API 端點存取資源。請勿與其他類似的限制混淆，例如：

• 限制資源位置限制，可控管資源的建立位置。
• 限制使用資源服務限制，可控管可使用的資源服務。

為避免破壞現有的服務基礎架構，請在非正式環境專案和資料夾中測試任何新的組織政策，然後在組織內逐步套用政策。

這項限制適用於特定產品和資源類型。如需支援的服務清單和各項服務的行為詳細資料，請參閱「支援的 API 端點」一節。

如要瞭解資料儲存承諾，請參閱《Cloud de Confiance by S3NS 服務條款》和《服務專屬條款》。含有「限制端點用量」限制的組織政策，並非資料落地承諾。

設定組織政策

如要設定、變更或刪除組織政策，您必須具備組織政策管理員角色。

組織政策限制可在組織、資料夾和專案層級設定。每項政策都適用於對應資源階層中的所有資源，但可以在資源階層的較低層級覆寫。

如要進一步瞭解政策評估，請參閱「瞭解階層評估」。

「端點用量限制」限制是一種清單限制。您可以從限制的 denied_values 清單新增及移除端點。

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

如果對遭拒 API 端點提出的要求嘗試存取資源，要求會失敗，並傳回說明失敗原因的錯誤。

在模擬測試模式下建立組織政策

模擬測試模式下的組織政策是一種組織政策，違反政策的行為會記錄在稽核記錄中，但不會遭到拒絕。您可以使用「限制端點用量」限制，在模擬測試模式下建立組織政策，監控政策對組織的影響，再強制執行正式政策。詳情請參閱「以模擬測試模式建立組織政策」。

錯誤訊息

如果您設定組織政策來拒絕端點，資源階層中該端點的作業就會失敗。系統會傳回錯誤，說明失敗原因。此外，系統也會產生稽核記錄項目，以利進一步監控、發出快訊或進行偵錯。

錯誤訊息示例

在以下範例中，使用 API 端點 storage.googleapis.com 的 curl 要求因政策強制執行而失敗：

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

稽核記錄項目範例

下列稽核記錄項目範例顯示資源存取遭拒的情況：

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          constraintViolationInfo: {
            @type: "type.googleapis.com/google.cloud.audit.RestrictEndpointUsageViolationInfo"
            tlsTerminationRegionCode: "US"
          }
          errorMessage: "Restrict endpoint usage Org Policy is violated"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

支援的 API 端點

「限制端點用量」限制支援下表列出的產品 API 端點。

表格會列出每項產品的主要全域 API 端點。不過，每項產品也可能支援全域 API 端點的 SERVICE_NAME.mtls.googleapis.com 變體或 content-SERVICE_NAME.googleapis.com 變體，例如 pubsub.mtls.googleapis.com 或 content-pubsub.googleapis.com。如要限制產品全域 API 端點的所有變化版本，可以使用值組。此外，這些產品的區域和位置 API 端點也支援「限制端點用量」限制。請參閱產品的 API 說明文件，瞭解可用的全域、位置和區域端點完整清單。

值組搭配

值組是 Google 彙整的群組和 API 端點集合，可讓您輕鬆定義端點限制。值組包含許多相關的 API 端點，Google 會隨著時間擴充這些端點，您不必變更組織政策，即可使用新的端點。

如要在組織政策使用值組，請用「in:」字串做為值組的前置字元。如要進一步瞭解如何使用值前置字元，請參閱「使用限制」。在呼叫設定組織政策時，系統會驗證群組名稱。如果使用無效的群組名稱，政策設定將會失敗。

下表列出目前可用的群組：