Il est possible qu'une partie ou l'ensemble des informations de cette page ne s'appliquent pas au Cloud de confiance S3NS. Pour en savoir plus, consultez Différences par rapport à Google Cloud.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Exemples de restrictions sur les organisations

Vous pouvez utiliser des restrictions sur les organisations pour contrôler le trafic sortant de votre réseau afin que les utilisateurs et les charges de travail ne puissent accéder qu'aux organisationsCloud de Confiance by S3NS autorisées. Ces restrictions permettent d'empêcher l'exfiltration de données vers des environnements externes non autorisés. Les exemples suivants montrent comment configurer l'en-tête de requête de restrictions sur les organisations pour des scénarios courants, tels qu'une ou plusieurs organisations, l'accès en lecture à Cloud Storage et les requêtes d'importation.

Limiter l'accès à votre organisation uniquement

Pour limiter l'accès à votre organisation uniquement, procédez comme suit :

En tant qu'administrateur Cloud de Confiance by S3NS , pour obtenir l'ID d'organisation Cloud de Confiance by S3NS de l'organisation A, utilisez la commande gcloud organizations list :
```
    gcloud organizations list
```
Voici un exemple de résultat :
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Cloud de Confiance by S3NS, composez la représentation JSON de la valeur d'en-tête au format suivant :
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A :
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

Restreindre l'accès à votre organisation et autoriser les requêtes de lecture sur les ressources Cloud Storage

Dans cet exemple, l'administrateur Cloud de Confiance by S3NS et l'administrateur du proxy de sortie de l'organisation A s'engagent ensemble à limiter l'accès des employés aux seules ressources de leur organisationCloud de Confiance by S3NS , à l'exception des requêtes de lecture des ressources Cloud Storage. Les administrateurs peuvent vouloir omettre les requêtes de lecture des ressources Cloud Storage de l'application des restrictions sur les organisations pour s'assurer que leurs employés peuvent accéder aux sites Web externes qui utilisent Cloud Storage pour héberger du contenu statique. L'administrateur utilise l'option cloudStorageReadAllowed pour autoriser les requêtes de lecture sur les ressources Cloud Storage.

Pour limiter l'accès à votre organisation uniquement et autoriser les requêtes de lecture sur les ressources Cloud Storage, procédez comme suit :

En tant qu'administrateur Cloud de Confiance by S3NS , pour obtenir l'ID d'organisation Cloud de Confiance by S3NS de l'organisation A, utilisez la commande gcloud organizations list :
```
    gcloud organizations list
```
Voici un exemple de résultat :
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Cloud de Confiance by S3NS, composez la représentation JSON de la valeur d'en-tête au format suivant :
```
 {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }
```
En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A :
```
 X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
Les employés de l'organisation A ont désormais accès à leur organisation Cloud de Confiance by S3NS et un accès en lecture aux ressources Cloud Storage.

Autoriser les employés à accéder à l'organisation Cloud de Confiance by S3NS d'un fournisseur

Dans cet exemple, l'administrateur Cloud de Confiance by S3NS et l'administrateur du proxy de sortie de l'organisation B collaborent pour permettre aux employés d'accéder à l'organisation Cloud de Confiance by S3NS d'un fournisseur en plus de leur organisation Cloud de Confiance by S3NS existante.

Pour limiter l'accès des employés à votre organisation et à celle du fournisseur, procédez comme suit :

En tant qu'administrateur Cloud de Confiance by S3NS , contactez le fournisseur pour obtenir l'ID d'organisation Cloud de Confiance by S3NSde l'organisation du fournisseur.
En tant qu'administrateur de proxy de sortie, pour inclure l'ID d'organisation du fournisseur en plus de l'ID d'organisation existant, vous devez mettre à jour la représentation JSON de la valeur d'en-tête. Une fois que vous avez obtenu l'ID d'organisation du fournisseur auprès de l'administrateur Cloud de Confiance by S3NS, mettez à jour la valeur de l'en-tête au format suivant :
```
 {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }
```
En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation B :
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
Les employés de l'organisation B ont désormais accès à l'organisation du fournisseur et à leur organisation Cloud de Confiance by S3NS .

Restreindre l'accès uniquement pour les importations

Dans cet exemple, l'administrateur Cloud de Confiance by S3NS et l'administrateur du proxy de sortie de l'organisation C s'engagent ensemble à limiter l'accès des employés aux seules ressources de l'organisationCloud de Confiance by S3NS .

Pour limiter l'accès à l'importation à votre organisation, procédez comme suit :

En tant qu'administrateur Cloud de Confiance by S3NS , pour obtenir l'ID d'organisation Cloud de Confiance by S3NS de l'organisation C, utilisez la commande gcloud organizations list :
```
    gcloud organizations list
```
Voici un exemple de résultat :
```
    DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Cloud de Confiance by S3NS, composez la représentation JSON de la valeur d'en-tête au format suivant :
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant ne soit inséré que pour les requêtes avec les méthodes PUT, POST et PATCH provenant des appareils gérés de l'organisation C :
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

Étapes suivantes

Découvrez les services compatibles avec les restrictions sur les organisations.