Benutzerdefinierte Organisationsrichtlinien für Zulassungsrichtlinien verwenden

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Beschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Cloud de Confiance by S3NS -Ressourcen einzuschränken:

• iam.googleapis.com/AllowPolicy

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Beschränkungen

Mit dem Organisationsrichtliniendienst von Cloud de Confiance können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Beschränkungen, die für Ressourcen vonCloud de Confiance und nachfolgende Elemente dieser Ressourcen in der Ressourcenhierarchie vonCloud de Confiance by S3NS gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Beschränkungen für verschiedene Dienste von Cloud de Confiance . Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien beschränkt werden, können Sie auch benutzerdefinierte Beschränkungen erstellen und diese benutzerdefinierten Beschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Cloud de Confiance die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Bewertung der Hierarchie.

Vorteile

Sie können benutzerdefinierte Organisationsrichtlinien verwenden, die auf IAM-Attribute verweisen, um zu steuern, wie Ihre Zulassungsrichtlinien geändert werden können. Sie können Folgendes steuern:

• Wem können Rollen zugewiesen werden?
• Wem können Rollen entzogen werden?
• Welche Rollen zugewiesen werden können
• Welche Rollen können widerrufen werden?

Sie können beispielsweise verhindern, dass Rollen, die das Wort admin enthalten, Hauptkonten zugewiesen werden, deren E-Mail-Adressen auf @gmail.com enden.

Beschränkungen

• Benutzerdefinierte Organisationsrichtlinien im Probelaufmodus, die auf IAM-Attribute verweisen, unterliegen einigen Einschränkungen. In Audit-Logs für Verstöße, die die Methode setIamPolicy betreffen, fehlen möglicherweise die folgenden Felder:

  • resourceName
  • serviceName
  • methodName

• Audit-Logs werden nicht für alle IAM-bezogenen Verstöße gegen benutzerdefinierte Organisationsrichtlinien generiert. Wenn eine benutzerdefinierte Organisationsrichtlinie dazu führt, dass ein setIamPolicy-Vorgang für die Organisationsressource fehlschlägt, generiertCloud de Confiance kein Audit-Log für dieses Ereignis.

• Benutzerdefinierte Organisationsrichtlinien, die auf IAM-Attribute verweisen, haben keine Auswirkungen auf Folgendes:

  • Standardgewährungen durch Cloud Storage-ACLs.
  • Automatische Rollenzuweisungen für Cloud Storage-Convenience-Werte und Zugriff auf das BigQuery-Standard-Dataset.
  • Rollen, die durch Standard-Zulassungsrichtlinien gewährt werden, z. B. einem Projektersteller, dem automatisch die Rolle „Inhaber“ (roles/owner) für das Projekt zugewiesen wird.

• Nutzer können Einladungen zur Übernahme der Inhaberschaft erhalten, auch wenn Sie eine benutzerdefinierte Organisationsrichtlinie haben, die die Zuweisung der Inhaberrolle (roles/owner) verhindert. Die benutzerdefinierte Organisationsrichtlinie verhindert zwar nicht, dass eine Einladung gesendet wird, aber sie verhindert, dass eingeladenen Nutzern die Rolle „Inhaber“ zugewiesen wird. Wenn eingeladene Nutzer versuchen, die Einladung anzunehmen, tritt ein Fehler auf und sie erhalten nicht die Inhaberrolle.

• Bei einigen Aktionen in Cloud de Confiance, z. B. beim Erstellen von Ressourcen oder Aktivieren von APIs, wird einem Dienst-Agent oder einem Standarddienstkonto automatisch eine Rolle zugewiesen. Wenn eine Aktion das automatische Zuweisen einer Rolle beinhaltet und eine Organisationsrichtlinie das Zuweisen dieser Rolle verhindert, kann der gesamte Vorgang fehlschlagen.

  Wenn dieses Problem auftritt, können Sie Tags verwenden, um die Einschränkung, die die Rollenzuweisung verhindert, vorübergehend zu deaktivieren. Führen Sie dann die Aktion aus. Aktivieren Sie die Einschränkung wieder, nachdem die Aktion abgeschlossen ist.

Hinweis

• Wenn Sie benutzerdefinierte Organisationsrichtlinien testen möchten, die auf IAM-Ressourcen verweisen, erstellen Sie ein neues Projekt. Das Testen dieser Organisationsrichtlinien in einem vorhandenen Projekt könnte Sicherheitsworkflows beeinträchtigen.

  1. Rufen Sie in der Cloud de Confiance Console die Seite für die Projektauswahl auf.

     Zur Projektauswahl

  2. Wählen Sie ein Cloud de Confiance -Projekt aus oder erstellen Sie eines.

     Erforderliche Rollen zum Auswählen oder Erstellen eines Projekts

     • Projekt auswählen: Für die Auswahl eines Projekts ist keine bestimmte IAM-Rolle erforderlich. Sie können jedes Projekt auswählen, für das Ihnen eine Rolle zugewiesen wurde.
     • Projekt erstellen: Zum Erstellen eines Projekts benötigen Sie die Rolle „Project Creator“ (roles/resourcemanager.projectCreator), die die Berechtigung resourcemanager.projects.create enthält. Informationen zum Zuweisen von Rollen

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation
• Auf dieser Seite beschriebene Organisationsrichtlinien testen: Project IAM Admin (roles/resourcemanager.projectIamAdmin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Von Identity and Access Management unterstützte Ressourcen

IAM unterstützt die Ressource AllowPolicy. Diese Ressource hat das Attribut resources.bindings, das für alle Methoden zurückgegeben wird, die die Zulassungsrichtlinie einer Ressource ändern. Alle Methoden, die die Zulassungsrichtlinie einer Ressource ändern, enden mit setIamPolicy.

Das Attribut resource.bindings hat die folgende Struktur, wobei BINDINGS ein Array von Rollenbindungen ist, die während einer Änderung an einer Zulassungsrichtlinie geändert wurden:

{
  "bindings": {
    BINDINGS
  }
}

Jede Bindung in resource.bindings hat die folgende Struktur, wobei ROLE der Name der Rolle in der Rollenbindung und MEMBERS eine Liste von Kennungen für alle Hauptkonten ist, die der Rollenbindung hinzugefügt oder daraus entfernt wurden:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Informationen zu den Formaten, die Hauptkonto-IDs haben können, finden Sie unter Hauptkonto-IDs.

Sie können das Attribut resource.bindings und seine Felder nur mit den unterstützten Funktionen auswerten. Andere Operatoren und Funktionen wie ==, !=, in, contains, startsWith und endsWith werden nicht unterstützt.

Unterstützte Funktionen

Mit den folgenden CEL-Funktionen können Sie einzelne Rollen und Mitglieder in einer Bindung bewerten.

Verwenden Sie die Makros all und exists, um alle Bindungen im Array bindings oder alle Mitglieder im Array members auszuwerten. Weitere Informationen finden Sie auf dieser Seite unter Makros zum Auswerten von Listen.

Sie können auch die logischen Operatoren && (and) und || (or) verwenden, um mehrteilige Bedingungen zu schreiben.

Makros zum Auswerten von Listen

Verwenden Sie die Makros all und exists, um einen Bedingungsausdruck für eine Liste von Elementen auszuwerten.

Bedingungen mit verschachtelten Listen

Wenn Ihre Bedingung verschachtelte Listen enthält, sollten Sie im Allgemeinen dasselbe Makro für alle Listen in der Bedingung verwenden.

Betrachten Sie hierzu folgende Beispiele:

• Wenn Ihre Richtlinie die ALLOW actionType hat, verwenden Sie das Makro all sowohl für die Liste members als auch für die Liste bindings, um sicherzustellen, dass Richtlinienänderungen nur zulässig sind, wenn alle Mitglieder in allen geänderten Bindungen die Bedingung erfüllen.
• Wenn Ihre Richtlinie die DENY actionType hat, verwenden Sie das Makro exists sowohl für die Liste members als auch für die Liste bindings, um sicherzustellen, dass Richtlinienänderungen nicht zulässig sind, wenn ein Mitglied in einer geänderten Bindung die Bedingung erfüllt.

Wenn Sie Makros in einer einzelnen Bedingung mischen, kann dies dazu führen, dass sich die Bedingung nicht wie beabsichtigt verhält.

Angenommen, Sie möchten verhindern, dass Mitgliedern außerhalb der Organisation example.com Rollen zugewiesen werden. Die Organisation example.com hat die ID 123456789012.

Um dieses Ziel zu erreichen, schreiben Sie die folgende Bedingung:

Nicht empfohlen: falsch konfigurierte Bedingung

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Diese Bedingung verhindert, dass Mitgliedern außerhalb der Organisation example.com Rollen zugewiesen werden. Die Bedingung wird jedoch als true ausgewertet, wenn ein Mitglied in jeder der geänderten Rollenbindungen zur Organisation example.com gehört. Daher können Sie Mitgliedern außerhalb der Organisation example.com weiterhin Rollen zuweisen, wenn Sie einem Mitglied in der Organisation example.com dieselbe Rolle zuweisen.

Die Bedingung wird beispielsweise für die folgende Gruppe von Bindungen als true ausgewertet, obwohl eines der Mitglieder nicht in der Organisation example.com ist:

 "bindings": [
    {
      "members": [
        "principal://iam.googleapis.com/locations/global/workforcePools/example-pool/subject/raha@altostrat.com",
        "principal://iam.googleapis.com/locations/global/workforcePools/example-pool/subject/jie@example.com"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Stattdessen sollten Sie eine Bedingung wie die folgende schreiben:

Empfohlen: korrekt konfigurierte Bedingung

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Wenn Sie das Makro all sowohl für das Array members.bindings als auch für das Array resource.bindings verwenden, wird die Bedingung nur dann als true ausgewertet, wenn alle Mitglieder in allen Bindungen im Hauptkontensatz example.com enthalten sind.

Unterstützte Hauptkontotypen für MemberTypeMatches

Bei der Funktion MemberTypeMatches müssen Sie angeben, mit welchem Hauptkontotyp das angegebene Mitglied übereinstimmen muss.

In der folgenden Tabelle sind die Hauptkontotypen aufgeführt, die Sie eingeben können, sowie eine Beschreibung der einzelnen Hauptkontotypen. Außerdem werden die Hauptkonto-IDs aufgeführt, die den einzelnen Hauptkontotypen entsprechen. Diese Kennungen sind die Werte, die in IAM-Richtlinien verwendet werden.

Benutzerdefinierte Beschränkung einrichten

Eine benutzerdefinierte Beschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Beschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Beschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Beschränkungen erstellen und verwalten.

Benutzerdefinierte Organisationsrichtlinie erzwingen

Benutzerdefinierte Organisationsrichtlinie testen

Optional können Sie die Organisationsrichtlinie testen, indem Sie die Richtlinie festlegen und dann versuchen, eine Aktion auszuführen, die durch die Richtlinie verhindert werden soll.

Einschränkung erstellen

1. Speichern Sie die folgende Datei als constraint-deny-project-iam-admin:

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ersetzen Sie die folgenden Werte:

   • ORG_ID: die numerische ID IhrerCloud de Confiance -Organisation.
   • MEMBER_EMAIL_ADDRESS: die E-Mail-Adresse des Hauptkontos, das Sie zum Testen der benutzerdefinierten Einschränkung verwenden möchten. Solange die Einschränkung aktiv ist, kann diesem Hauptkonto die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) für das Projekt, für das Sie die Einschränkung erzwingen, nicht zugewiesen werden.

2. Wenden Sie die Einschränkung an:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Richtlinie erstellen

1. Speichern Sie die folgende Datei als policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

2. Wenden Sie die Richtlinie an:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Richtlinie vorhanden ist:

   gcloud org-policies list --project=PROJECT_ID
   

Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Cloud de Confiance die Richtlinie durchgesetzt hat.

Richtlinie testen

Versuchen Sie, dem Hauptkonto, dessen E-Mail-Adresse Sie in die benutzerdefinierte Einschränkung aufgenommen haben, die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) zuzuweisen. Ersetzen Sie vor dem Ausführen des Befehls folgende Werte:

• PROJECT_ID: Die ID des Cloud de Confiance-Projekts, in dem Sie die Einschränkung erzwungen haben
• EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, das Sie beim Erstellen der Einschränkung für die Organisationsrichtlinie angegeben haben.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Die Ausgabe sieht so aus:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie die Syntax einiger benutzerdefinierter Beschränkungen für gängige Anwendungsfälle.

In den folgenden Beispielen werden die CEL-Makros all und exists verwendet. Weitere Informationen zu diesen Makros finden Sie unter Makros zum Auswerten von Listen.

name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted

name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked

name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2

name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP

name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers

name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
    )
  )"
actionType: ALLOW
displayName: Only allow organization members to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount'])
    )
  )"
actionType: ALLOW
displayName: Only allow service accounts to be granted roles

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfGoogleManagedServiceAgents
resource_types: iam.googleapis.com/AllowPolicy
method_types:
  - REMOVE_GRANT
condition: |-
  resource.bindings.all(
      binding,
      binding.members.all(member,
        MemberTypeMatches(member, ['iam.googleapis.com/ServiceAgent'])
      )
    )
action_type: DENY
display_name: Deny Removal Of Google-Managed Service Agents
description: Restricts the removal of Google-managed service agents from role bindings. Please reach out to your organization admins for if you have any questions.

Bedingte Organisationsrichtlinien

Sie können eine benutzerdefinierte Organisationsrichtlinie mithilfe von Tags an Bedingungen knüpfen. Angenommen, Sie haben die folgende benutzerdefinierte Einschränkung geschrieben, um zu verhindern, dass Rollen gewährt werden, die mit roles/storage. beginnen:

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

Wenn Sie die Einschränkung bedingt erzwingen möchten, können Sie eine Organisationsrichtlinie wie die folgende erstellen:

name: organizations/ORG_ID/policies/custom.dontgrantStorageRoles
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORG_ID/environment', 'dev')"
    enforce: true
  - enforce: false

Diese Organisationsrichtlinie verhindert, dass Rollen, die mit roles/storage. beginnen, für Ressourcen gewährt werden, die auch das Tag environment=dev haben.

Nächste Schritte

• Weitere Informationen zum Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten.
• Eine vollständige Liste der vordefinierten Beschränkungen für Organisationsrichtlinien finden Sie hier.