透過防刪除鎖定保護專案

您可以使用 Cloud de Confiance by S3NS 專案留置權，防止重要專案遭到意外或惡意刪除。防刪除鎖定會禁止任何人刪除專案，直到組織管理員或專案擁有者移除防刪除鎖定為止。

Cloud de Confiance 也可以自動套用留置權，保護資源。舉例來說，如果您將某個專案的服務帳戶附加至其他專案的資源， Cloud de Confiance 會對擁有 Identity and Access Management (IAM) 服務帳戶的專案設定留置權，防止依附關係中斷。

事前準備

gcloud CLI 是與專案留置權互動最簡單的方式。如果沒有安裝此工具，您可使用 Google Cloud Shell。

必要的角色

如要取得修改防刪除鎖定所需的權限，請要求系統管理員授予您專案的專案防刪除鎖定修飾符 (roles/resourcemanager.lienModifier) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這個預先定義的角色具備修改留置權所需的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

必須具備下列權限，才能修改留置權：

resourcemanager.projects.updateLiens
列出專案的留置權：resourcemanager.projects.get

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

對專案設定防刪除鎖定

如要對專案設定防刪除鎖定，請使用 alpha resource-manager liens create 指令。

gcloud alpha resource-manager liens create \
    --project=PROJECT_ID \
    --restrictions=resourcemanager.projects.delete \
    --reason=LIEN_REASON \
    --origin=LIEN_ORIGIN

更改下列內容：

PROJECT_ID：防刪除鎖定適用的專案 ID。
LIEN_REASON：人類可讀的說明，解釋這個防刪除鎖定存在的原因。請將這段說明放在雙引號內。範例："This project is protected by a lien"。
LIEN_ORIGIN：字串，表示建立防刪除鎖定的使用者或系統。這是必填欄位，但如果省略，系統會自動填入使用者的電子郵件地址。

列出專案的防刪除鎖定

如要列出套用至專案的所有留置權，請使用 alpha resource-manager liens list 指令。

gcloud alpha resource-manager liens list

輸出結果會與下列內容相似：

NAME                                                  ORIGIN            REASON
p1061081023732-l3d8032b3-ea2c-4683-ad48-5ca23ddd00e7  user@example.com  testing

移除專案的留置權

如要移除專案的防刪除鎖定，請使用 alpha resource-manager liens delete 指令。

gcloud alpha resource-manager liens delete LIEN_NAME

將 LIEN_NAME 替換為要刪除的留置權名稱，例如 p1061081023732-l3d8032b3-ea2c-4683-ad48-5ca23ddd00e7。

參考資料

API 參考資料：REST 資源：防刪除鎖定