Algumas ou todas as informações nesta página podem não se aplicar ao Cloud de Confiance da S3NS. Consulte Diferenças do Google Cloud para saber mais.

O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Exemplos de restrições da organização

É possível usar as restrições para organizações para controlar o tráfego de saída da rede, de modo que os usuários e as cargas de trabalho possam acessar apenas as organizações Cloud de Confiance by S3NS permitidas. Essas restrições ajudam a evitar a exfiltração de dados para ambientes externos não autorizados. Os exemplos a seguir mostram como configurar o cabeçalho da solicitação de restrições para organizações em cenários comuns, como organizações únicas ou múltiplas, acesso de leitura do Cloud Storage e solicitações de upload.

Restringir o acesso apenas à sua organização

Para restringir o acesso apenas à sua organização, faça o seguinte:

Como administrador do Cloud de Confiance by S3NS , para receber o ID da organização Cloud de Confiance by S3NS da Organização A, use o comando gcloud organizations list:
```
    gcloud organizations list
```
Veja um exemplo de saída:
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
Como administrador de proxy de saída, depois de receber o ID da organização do administrador do Cloud de Confiance by S3NS, componha a representação JSON para o valor do cabeçalho no seguinte formato:
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
Como administrador de proxy de saída, codifique o valor do cabeçalho da solicitação seguindo as especificações da Seção 5 da RFC 4648.

Por exemplo, se a representação JSON do valor do cabeçalho estiver armazenada no arquivo authorized_orgs.json, para codificar o arquivo, execute o seguinte comando basenc:
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
Como administrador de proxy de saída, configure o proxy de saída para que o seguinte cabeçalho da solicitação seja inserido em todas as solicitações originadas dos dispositivos gerenciados na Organização A:
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

Restringir o acesso à sua organização e permitir solicitações de leitura para recursos do Cloud Storage

Neste exemplo, o administrador do Cloud de Confiance by S3NS e o administrador do proxy de saída da Organização A se unem para restringir o acesso dos funcionários apenas aos recursos da organizaçãoCloud de Confiance by S3NS , exceto para solicitações de leitura de recursos do Cloud Storage. Os administradores podem omitir solicitações de leitura para recursos do Cloud Storage da aplicação de restrições para organizações para garantir que os funcionários possam acessar sites externos que usam o Cloud Storage para hospedar conteúdo estático. O administrador usa a opção cloudStorageReadAllowed para permitir solicitações de leitura para recursos do Cloud Storage.

Para restringir o acesso apenas à sua organização e permitir solicitações de leitura para recursos do Cloud Storage, faça o seguinte:

Como administrador do Cloud de Confiance by S3NS , para receber o ID da organização Cloud de Confiance by S3NS da Organização A, use o comando gcloud organizations list:
```
    gcloud organizations list
```
Veja um exemplo de saída:
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
Como administrador de proxy de saída, depois de receber o ID da organização do administrador do Cloud de Confiance by S3NS, componha a representação JSON para o valor do cabeçalho no seguinte formato:
```
 {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }
```
Como administrador de proxy de saída, codifique o valor do cabeçalho da solicitação seguindo as especificações da Seção 5 da RFC 4648.

Por exemplo, se a representação JSON do valor do cabeçalho estiver armazenada no arquivo authorized_orgs.json, para codificar o arquivo, execute o seguinte comando basenc:
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
Como administrador de proxy de saída, configure o proxy de saída para que o seguinte cabeçalho da solicitação seja inserido em todas as solicitações originadas dos dispositivos gerenciados na Organização A:
```
 X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
Os funcionários da Organização A agora têm acesso à organização do Cloud de Confiance by S3NS e acesso de leitura aos recursos do Cloud Storage.

Permitir que os funcionários acessem uma organização do Google Cloud Cloud de Confiance by S3NS de um fornecedor

Neste exemplo, o administrador do Cloud de Confiance by S3NS e o administrador do proxy de saída da Organização B se unem para permitir que os funcionários acessem uma organização fornecedora do Cloud de Confiance by S3NS , além da organização atual do Cloud de Confiance by S3NS .

Para restringir o acesso dos funcionários apenas à sua organização e à organização do fornecedor, faça o seguinte:

Como administrador do Cloud de Confiance by S3NS , entre em contato com o fornecedor para receber o ID da organização do Cloud de Confiance by S3NSdo fornecedor.
Como administrador de proxy de saída, para incluir o ID da organização do fornecedor além do ID da organização atual, é necessário atualizar a representação JSON do valor do cabeçalho. Depois de receber o ID da organização do fornecedor do administrador do Cloud de Confiance by S3NS, atualize o valor do cabeçalho no seguinte formato:
```
 {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }
```
Como administrador de proxy de saída, codifique o valor do cabeçalho da solicitação seguindo as especificações da Seção 5 da RFC 4648.

Por exemplo, se a representação JSON do valor do cabeçalho estiver armazenada no arquivo authorized_orgs.json, para codificar o arquivo, execute o seguinte comando basenc:
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
Como administrador de proxy de saída, configure o proxy de saída para que o seguinte cabeçalho da solicitação seja inserido em todas as solicitações originadas dos dispositivos gerenciados na Organização B:
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
Os funcionários da Organização B agora têm acesso ao fornecedor e às organizações do Cloud de Confiance by S3NS .

Restringir o acesso apenas para uploads

Neste exemplo, o administrador do Cloud de Confiance by S3NS e o administrador do proxy de saída da Organização C se unem para restringir o acesso de upload dos funcionários apenas aos recursos na organizaçãoCloud de Confiance by S3NS .

Para restringir o acesso de upload apenas à sua organização, faça o seguinte:

Como administrador do Cloud de Confiance by S3NS , para receber o ID da organização Cloud de Confiance by S3NS da Organização C, use o comando gcloud organizations list:
```
    gcloud organizations list
```
Veja um exemplo de saída:
```
    DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
Como administrador de proxy de saída, depois de receber o ID da organização do administrador do Cloud de Confiance by S3NS, componha a representação JSON para o valor do cabeçalho no seguinte formato:
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
Como administrador de proxy de saída, codifique o valor do cabeçalho da solicitação seguindo as especificações da Seção 5 da RFC 4648.

Por exemplo, se a representação JSON do valor do cabeçalho estiver armazenada no arquivo authorized_orgs.json, para codificar o arquivo, execute o seguinte comando basenc:
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
Como administrador de proxy de saída, configure o proxy de saída para que o seguinte cabeçalho da solicitação seja inserido apenas para solicitações com métodos PUT, POST e PATCH originados dos dispositivos gerenciados na Organização C:
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

A seguir

Saiba mais sobre os serviços compatíveis com as restrições para organizações.