機構限制範例

您可以使用組織權限限制，控管網路的傳出流量，讓使用者和工作負載只能存取允許的Cloud de Confiance by S3NS 組織。這些限制有助於防止資料外洩至未經授權的外部環境。以下範例說明如何針對常見情境 (例如單一或多個組織、Cloud Storage 讀取權限和上傳要求)，設定組織權限限制要求標頭。

僅限貴機構存取

在本範例中，機構 A 的 Cloud de Confiance by S3NS 管理員和輸出 Proxy 管理員共同合作，限制員工只能存取Cloud de Confiance by S3NS 機構中的資源。

如要限制只有貴組織可以存取，請按照下列步驟操作：

身為 Cloud de Confiance by S3NS 管理員，如要取得組織 A 的 Cloud de Confiance by S3NS 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Cloud de Confiance by S3NS管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 A 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

限制組織存取權，並允許 Cloud Storage 資源的讀取要求

在這個範例中，機構 A 的 Cloud de Confiance by S3NS 管理員和輸出 Proxy 管理員共同合作，限制員工只能存取Cloud de Confiance by S3NS 機構中的資源，但 Cloud Storage 資源的讀取要求除外。管理員可能希望 Cloud Storage 資源的讀取要求不受組織權限限制，確保員工可以存取使用 Cloud Storage 託管靜態內容的外部網站。管理員使用 cloudStorageReadAllowed 選項，允許對 Cloud Storage 資源的讀取要求。

如要限制僅限貴組織存取，並允許對 Cloud Storage 資源提出讀取要求，請按照下列步驟操作：

身為 Cloud de Confiance by S3NS 管理員，如要取得組織 A 的 Cloud de Confiance by S3NS 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Cloud de Confiance by S3NS管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 A 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
現在，機構 A 的員工可以存取其 Cloud de Confiance by S3NS 機構，並具備 Cloud Storage 資源的讀取權限。

允許員工存取供應商 Cloud de Confiance by S3NS 組織

在這個範例中，機構 B 的 Cloud de Confiance by S3NS 管理員和輸出 Proxy 管理員共同合作，允許員工除了現有的 Cloud de Confiance by S3NS 機構外，還能存取供應商 Cloud de Confiance by S3NS 機構。

如要限制員工只能存取貴組織和供應商組織，請按照下列步驟操作：

Cloud de Confiance by S3NS 管理員應與供應商聯絡，取得供應商組織的 Cloud de Confiance by S3NS組織 ID。
如要以輸出 Proxy 管理員的身分，在現有組織 ID 之外加入供應商組織 ID，您必須更新標頭值的 JSON 表示法。從 Cloud de Confiance by S3NS管理員取得供應商組織 ID 後，請以下列格式更新標頭值：
```
 {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 B 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
組織 B 的員工現在可以存取供應商和自己的 Cloud de Confiance by S3NS 組織。

僅限制上傳內容的存取權

在這個範例中， Cloud de Confiance by S3NS 管理員和 C 機構的輸出 Proxy 管理員共同合作，限制員工只能將資源上傳至Cloud de Confiance by S3NS 機構。

如要限制上傳權限，僅允許貴組織上傳，請按照下列步驟操作：

如要以 Cloud de Confiance by S3NS 管理員身分取得組織 C 的 Cloud de Confiance by S3NS 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Cloud de Confiance by S3NS管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
輸出 Proxy 系統管理員應設定輸出 Proxy，只在機構 C 受管理裝置發出的 PUT、POST 和 PATCH 方法要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

後續步驟

瞭解組織權限限制支援的服務。