Ringkasan Kebijakan Organisasi

Layanan Kebijakan Organisasi memberi Anda kontrol terpusat dan terprogram atas resource organisasi Anda Cloud de Confiance . Sebagai administrator kebijakan organisasi, Anda dapat mengonfigurasi batasan di seluruh hierarki resource Anda.

Manfaat

  • Memusatkan kontrol untuk mengonfigurasi batasan tentang cara penggunaan resource organisasi Anda.
  • Menentukan dan menetapkan panduan untuk tim pengembangan Anda agar tetap berada dalam batas kepatuhan.
  • Membantu pemilik project dan tim mereka bergerak cepat tanpa takut melanggar kepatuhan.

Kasus penggunaan umum

Kebijakan organisasi memungkinkan Anda melakukan hal berikut:

Ada banyak batasan lain yang memberi Anda kontrol terperinci atas resource organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat daftar semua batasan Kebijakan Organisasi.

Perbedaan dengan Identity and Access Management

Identity and Access Management berfokus pada siapa, dan memungkinkan administrator memberikan otorisasi siapa yang dapat mengambil tindakan atas resource tertentu berdasarkan izin.

Kebijakan Organisasi berfokus pada apa, dan memungkinkan administrator menetapkan batasan pada resource tertentu untuk menentukan cara mengonfigurasinya.

Cara kerja kebijakan organisasi

Kebijakan organisasi mengonfigurasi satu batasan yang membatasi satu atau beberapa Cloud de Confiance layanan. Kebijakan organisasi ditetapkan pada resource organisasi, folder, atau project untuk menerapkan batasan pada resource tersebut dan resource turunan apa pun.

Kebijakan organisasi berisi satu atau beberapa aturan yang menentukan cara dan apakah akan menerapkan batasan. Misalnya, kebijakan organisasi dapat berisi satu aturan yang menerapkan batasan hanya pada resource yang diberi tag environment=development, dan aturan lain yang mencegah batasan diterapkan pada resource lain.

Turunan dari resource tempat kebijakan organisasi dilampirkan mewarisi kebijakan organisasi. Dengan menerapkan kebijakan organisasi ke resource organisasi, administrator kebijakan organisasi dapat mengontrol penerapan kebijakan organisasi tersebut dan konfigurasi batasan di seluruh organisasi Anda.

Konsep kebijakan organisasi

Batasan

Batasan adalah jenis pembatasan tertentu terhadap layanan atau daftar layanan.Cloud de Confiance Cloud de Confiance Ibarat suatu rencana induk, batasan mendefinisikan perilaku yang dikontrol. Misalnya, Anda dapat membatasi resource project agar tidak mengakses resource penyimpanan Compute Engine menggunakan batasan compute.storageResourceUseRestrictions.

Panduan dasar ini kemudian ditetapkan pada resource dalam hierarki resource Anda sebagai kebijakan organisasi, yang menerapkan aturan yang ditentukan dalam batasan. Layanan yang dipetakan ke batasan tersebut dan terkait dengan resource tersebut akan memberlakukan batasan yang dikonfigurasi dalam kebijakan organisasi . Cloud de Confiance

Kebijakan organisasi ditentukan dalam file YAML atau JSON oleh batasan yang diterapkannya dan secara opsional oleh kondisi yang menjadi dasar penerapan batasan. Setiap kebijakan organisasi menerapkan tepat satu batasan dalam mode aktif, mode uji coba, atau keduanya.

Batasan terkelola lama memiliki satu atau beberapa aturan daftar atau aturan boolean berdasarkan jenis batasan. Aturan daftar adalah kumpulan nilai yang diizinkan atau ditolak. Aturan boolean dapat mengizinkan semua nilai, menolak semua nilai, atau menentukan apakah batasan diterapkan atau tidak diterapkan.

Batasan terkelola (lama)

Batasan terkelola lama memiliki jenis batasan daftar atau boolean, yang menentukan nilai yang dapat digunakan untuk memeriksa penerapan. Layanan yang menerapkan Cloud de Confiance akan mengevaluasi jenis dan nilai batasan untuk menentukan batasan yang diterapkan.

Batasan lama ini sebelumnya dikenal sebagai batasan yang telah ditetapkan.

Aturan daftar

Batasan terkelola lama dengan aturan daftar mengizinkan atau melarang daftar nilai yang ditentukan dalam kebijakan organisasi. Batasan lama ini sebelumnya dikenal sebagai batasan daftar. Daftar nilai yang diizinkan atau ditolak dinyatakan sebagai string subpohon hierarki. String subpohon menentukan jenis resource yang berlaku. Misalnya, batasan terkelola lama constraints/compute.trustedImageProjects menggunakan daftar ID project dalam bentuk projects/PROJECT_ID.

Anda dapat menentukan bahwa semua nilai diizinkan, semua nilai ditolak, atau daftar nilai tertentu diizinkan atau ditolak. Saat Anda menentukan daftar nilai yang diizinkan atau ditolak, Kebijakan Organisasi secara implisit mengevaluasi bahwa hanya nilai tersebut yang diizinkan atau ditolak. Misalnya, jika Anda memiliki batasan yang hanya mengizinkan projects/PROJECT_ID, semua nilai lainnya akan ditolak secara implisit.

Nilai dapat diberi awalan dalam bentuk prefix:value untuk batasan yang mendukungnya, yang memberikan makna tambahan pada nilai:

  • is: - menerapkan perbandingan terhadap nilai yang sama persis. Perilaku ini sama dengan tidak memiliki awalan, dan diperlukan saat nilai menyertakan titik dua.

  • under: - menerapkan perbandingan ke nilai dan semua nilai turunannya. Jika resource diizinkan atau ditolak dengan awalan ini, resource turunannya juga diizinkan atau ditolak. Nilai yang diberikan harus berupa ID resource organisasi, folder, atau project.

  • in: - menerapkan perbandingan ke semua resource yang menyertakan nilai ini. Misalnya, Anda dapat menambahkan in:us-locations ke daftar yang ditolak dari constraints/gcp.resourceLocations batasan untuk memblokir semua lokasi yang disertakan dalam us region.

Jika tidak ada daftar nilai yang diberikan, atau kebijakan organisasi ditetapkan ke default yang dikelola Google, perilaku default batasan akan berlaku, yang mengizinkan semua nilai atau menolak semua nilai.

Kebijakan organisasi berikut menerapkan batasan terkelola lama yang mengizinkan instance VM Compute Engine vm-1 dan vm-2 di organizations/1234567890123 untuk mengakses alamat IP eksternal:

name: organizations/1234567890123/policies/compute.vmExternalIpAccess
spec:
  rules:
  - values:
      allowedValues:
      - is:projects/project_a/zones/us-central1-a/instances/vm-1
      - is:projects/project_b/zones/us-central1-a/instances/vm-2

Aturan boolean

Batasan terkelola lama dengan aturan boolean diterapkan atau tidak diterapkan. Misalnya, constraints/compute.disableSerialPortAccess memiliki dua kemungkinan status:

  • Diterapkan - batasan diterapkan, dan akses port serial tidak diizinkan.
  • Tidak diterapkan - batasan disableSerialPortAccess tidak diterapkan atau diperiksa, sehingga akses port serial diizinkan.

Jika kebijakan organisasi ditetapkan ke default yang dikelola Google, perilaku default untuk batasan akan berlaku.

Batasan lama ini sebelumnya dikenal sebagai batasan boolean.

Kebijakan organisasi berikut menerapkan batasan terkelola lama yang menonaktifkan pembuatan akun layanan eksternal di organizations/1234567890123:

name: organizations/1234567890123/policies/iam.disableServiceAccountCreation
spec:
  rules:
  - enforce: true

Kebijakan organisasi bersyarat

Tag memberikan cara untuk menerapkan batasan secara bersyarat berdasarkan apakah resource memiliki tag tertentu. Anda dapat menggunakan tag dan penerapan batasan bersyarat untuk memberikan kontrol terpusat atas resource dalam hierarki Anda.

Untuk mengetahui informasi lebih lanjut tentang tag, lihat Ringkasan tag. Untuk mempelajari cara menetapkan kebijakan organisasi bersyarat menggunakan tag, lihat Mencakup kebijakan organisasi dengan tag.

Pewarisan

Saat kebijakan organisasi ditetapkan pada resource, semua turunan resource tersebut akan mewarisi kebijakan organisasi secara default. Jika Anda menetapkan kebijakan organisasi pada resource organisasi, konfigurasi batasan yang ditentukan oleh kebijakan tersebut akan diteruskan ke semua folder, project, dan resource layanan turunan.

Anda dapat menetapkan kebijakan organisasi pada resource turunan yang menimpa pewarisan atau mewarisi kebijakan organisasi dari resource induk. Kebijakan organisasi yang menerapkan batasan terkelola lama digabungkan berdasarkan aturan evaluasi hierarki. Sistem ini memberikan kontrol yang akurat untuk cara penerapan kebijakan organisasi di seluruh organisasi Anda dan tempat Anda ingin membuat pengecualian.

Untuk mempelajari lebih lanjut, lihat Evaluasi hierarki.

Pelanggaran

Pelanggaran terjadi ketika layanan bertindak atau berada dalam status yang bertentangan dengan konfigurasi batasan kebijakan organisasi dalam cakupan hierarki resourcenya.Layanan akan memberlakukan batasan untuk mencegah pelanggaran, tetapi penerapan kebijakan baru organisasi biasanya tidak berlaku surut. Cloud de Confiance Cloud de Confiance Jika batasan kebijakan organisasi diterapkan secara surut, batasan tersebut akan diberi label sebagai batasan di halaman batasan kebijakan organisasi.

Jika kebijakan organisasi baru menetapkan batasan pada tindakan atau status yang sudah ada di layanan, kebijakan tersebut dianggap melanggar, tetapi layanan tidak akan menghentikan perilaku aslinya. Anda harus mengatasi pelanggaran ini secara manual. Hal ini mencegah risiko kebijakan organisasi baru yang sepenuhnya menghentikan kelangsungan bisnis Anda.

Langkah berikutnya