제약조건 사용

이 가이드에서는 특정 제약조건으로 조직 정책을 만드는 방법을 설명합니다. 이 페이지의 예시에서 사용된 제약조건은 실제 제약조건이 아니라 교육 목적을 위한 일반적인 샘플입니다.

제약조건과 제약조건을 통해 해결하는 문제에 대한 자세한 내용은 모든 조직 정책 서비스 제약조건 목록을 검토하세요.

시작하기 전에

필요한 역할

조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 조직의 조직 정책 관리자(roles/orgpolicy.policyAdmin) IAM 역할을 요청하세요. 역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이 사전 정의된 역할에는 조직 정책을 관리하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

필수 권한

조직 정책을 관리하려면 다음 권한이 필요합니다.

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

조직 정책에 목록 제약조건 사용

목록 제약조건을 사용하여 특정 서비스에 대한 액세스를 거부하는 조직 리소스에 조직 정책을 설정할 수 있습니다. 다음 프로세스에서는 Google Cloud CLI를 사용하여 조직 정책을 설정하는 방법을 설명합니다. Google Cloud 콘솔을 사용하여 조직 정책을 보고 설정하는 방법은 정책 만들기 및 관리를 참조하세요.

목록 제약조건을 사용하는 조직 정책은 개별 허용 값이나 거부 값을 500개를 초과하여 가질 수 없으며 32KB를 초과할 수 없습니다. 값이 500개를 초과하거나 크기가 32KB를 초과하도록 조직 정책을 만들거나 업데이트하면 정책이 성공적으로 저장되지 않으며 요청에서 오류를 반환합니다.

조직 리소스에 시행하도록 설정

gcloud CLI를 사용하여 조직에 시행하도록 설정하려면 다음 단계를 따르세요.

  1. describe 명령어를 사용하여 조직 리소스의 현재 정책을 가져옵니다. 이 명령어는 이 리소스에 직접 적용되는 정책을 반환합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --organization=ORGANIZATION_ID

    다음을 바꿉니다.

    • ORGANIZATION_ID: 조직 리소스의 고유 식별자입니다. 조직 ID는 십진수 형식이며 앞에 0이 올 수 없습니다.

    • LIST_CONSTRAINT: 서비스에 적용할 목록 제약조건입니다. 예를 들어 constraints/gcp.restrictNonCmekServices 제약조건은 고객 관리 암호화 키(CMEK) 없이 리소스를 만들 수 있는 서비스를 제한합니다.

    --folder 또는 --project 플래그와 폴더 ID 또는 프로젝트 ID를 각각 사용하여 조직 정책을 폴더 또는 프로젝트에 적용할 수도 있습니다.

    현재 조직 정책이 있는 경우 해당 정책이 응답에 반환됩니다. 예를 들면 다음과 같습니다.

    name: projects/841166443394/policies/gcp.resourceLocations
spec:
  etag: BwW5P5cEOGs=
  inheritFromParent: true
  rules:
  - condition:
      expression: resource.matchTagId("tagKeys/1111", "tagValues/2222")
    values:
      allowedValues:
      - in:us-east1-locations
  - condition:
      expression: resource.matchTag("123/env", "prod")
    values:
      allowedValues:
      - in:us-west1-locations
  - values:
      deniedValues:
      - in:asia-south1-locations
  updateTime: '2021-01-19T12:00:51.095Z'

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  2. set-policy 명령어를 사용하여 조직에 정책을 설정합니다. 그러면 리소스에 연결된 모든 정책이 덮어쓰게 됩니다.

    1. 정책을 저장할 /tmp/policy.yaml 임시 파일을 만듭니다.

      name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
      - VALUE_A

    2. set-policy 명령어를 실행합니다.

      gcloud org-policies set-policy /tmp/policy.yaml

  3. describe --effective를 사용하여 현재의 유효 정책을 확인합니다. 그러면 상속이 포함된 리소스 계층 구조에서 이 시점에 평가된 것에 해당하는 조직 정책이 반환됩니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --organization=ORGANIZATION_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
spec:
  etag: BwVJi0OOESU=
  rules:
  - values:
      deniedValues:
      - VALUE_A

    이 조직 정책은 조직 수준에서 설정되었으므로 상속을 허용하는 모든 하위 리소스에 상속됩니다.

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

계층 구조 하위 트리에 시행하도록 설정

목록 제약조건은 명시적으로 정의된 값을 사용하여 허용하거나 거부해야 하는 리소스를 결정합니다. 해당 리소스가 있는 하위 트리를 루트로 지정하는 under: 프리픽스를 사용하는 값을 허용하는 제약조건도 있습니다. 허용된 값 또는 거부된 값에 under: 프리픽스를 사용하면 조직 정책이 해당 리소스 및 모든 하위 항목에 적용됩니다. under: 프리픽스 사용을 허용하는 제약조건에 대한 자세한 내용은 조직 정책 제약조건 페이지를 참조하세요.

under: 프리픽스를 사용하는 값을 계층 구조 하위 트리 문자열이라고 합니다. 계층 구조 하위 트리 문자열은 적용할 리소스 유형을 지정합니다. 예를 들어 constraints/compute.storageResourceUseRestrictions 제약조건을 설정할 때 projects/PROJECT_ID의 하위 트리 문자열을 사용하면 PROJECT_ID 및 모든 하위 항목에 Compute Engine 스토리지의 사용이 허용되거나 거부됩니다.

  1. describe 명령어를 사용하여 조직 리소스의 현재 정책을 가져옵니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT \
  --organization=ORGANIZATION_ID

    다음을 바꿉니다.

    • ORGANIZATION_ID는 조직 리소스의 고유 식별자입니다.

    • LIST_CONSTRAINT는 서비스에 적용할 목록 제약조건입니다.

    --folder 또는 --project 플래그와 폴더 ID 또는 프로젝트 ID를 각각 사용하여 조직 정책을 폴더 또는 프로젝트에 적용할 수도 있습니다.

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  2. set-policy 명령어를 사용하여 프로젝트에 정책을 설정합니다. under: 프리픽스는 이름이 지정된 리소스와 모든 하위 리소스를 거부하도록 제약조건을 설정합니다.

    1. 정책을 저장할 /tmp/policy.yaml 임시 파일을 만듭니다.

      name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
      - under:folders/VALUE_A

    2. set-policy 명령어를 실행합니다.

      gcloud org-policies set-policy /tmp/policy.yaml

    각 항목의 의미는 다음과 같습니다.

    • under:는 하위 트리 문자열이 뒤에 온다는 것을 나타내는 프리픽스입니다.

    • folders/VALUE_A는 거부하려는 루트 리소스의 폴더 ID입니다. 이 리소스와 리소스 계층 구조의 모든 하위 항목이 거부됩니다.

    다음 예시에서와 같이 under: 프리픽스를 조직 및 프로젝트에 적용할 수도 있습니다.

    • under:organizations/VALUE_X

    • under:projects/VALUE_Y

  3. describe --effective를 사용하여 현재의 유효 정책을 확인합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --organization=ORGANIZATION_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
      - under:folders/VALUE_A

    이제 정책은 VALUE_A 폴더와 모든 하위 리소스를 거부하도록 평가됩니다.

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

프로젝트에 조직 정책 병합

리소스에 조직 정책을 설정할 수 있습니다. 이 정책은 상위 리소스에서 상속된 정책과 병합됩니다. 이 병합된 정책은 상속 규칙을 기반으로 새로운 유효 정책을 만들도록 평가됩니다.

  1. describe 명령어를 사용하여 리소스의 현재 정책을 가져옵니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT \
  --project=PROJECT_ID

    다음을 바꿉니다.

    • PROJECT_ID: 프로젝트의 고유 식별자입니다.

    • LIST_CONSTRAINT: 서비스에 적용할 목록 제약조건입니다.

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  2. describe --effective 명령어를 사용하여 현재의 유효 정책을 표시합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --project=PROJECT_ID

    이 명령어의 출력에는 조직 리소스에서 상속되는 거부된 값이 포함됩니다.

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
      - VALUE_A

  3. set-policy 명령어를 사용하여 프로젝트에 정책을 설정합니다.

    1. 정책을 저장할 /tmp/policy.yaml 임시 파일을 만듭니다.

      name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  inheritFromParent: true
  rules:
  - values:
      deniedValues:
      - VALUE_B
      - VALUE_C

    2. set-policy 명령어를 실행합니다.

      gcloud org-policies set-policy /tmp/policy.yaml

  4. describe --effective 명령어를 다시 실행하여 업데이트된 정책을 표시합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --project=PROJECT_ID

    이 명령어의 출력에는 리소스의 정책과 상위 항목의 정책을 병합한 유효 정책이 포함됩니다.

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
        - VALUE_A
        - VALUE_B
        - VALUE_C

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

기본 제약조건 동작 복원

reset 명령어를 사용하여 정책의 기본 동작을 사용하도록 정책을 초기화할 수 있습니다. 사용 가능한 모든 제약조건 및 기본값의 목록은 조직 정책 제약조건을 참조하세요. 다음 예시에서는 기본 제약조건 동작이 모든 값을 허용한다고 가정합니다.

  1. 프로젝트의 유효 정책을 가져와서 현재 병합된 정책을 표시합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --project=PROJECT_ID

    PROJECT_ID를 프로젝트의 고유 식별자로 바꿉니다. 명령어를 실행하면 다음과 같이 출력됩니다.

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - values:
      deniedValues:
      - VALUE_A
      - VALUE_B
      - VALUE_C

  2. reset 명령어를 사용하여 조직 정책을 재설정합니다.

    gcloud org-policies reset LIST_CONSTRAINT \
    --project=PROJECT_ID

  3. 유효 정책을 가져와서 기본 동작을 확인합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --project=PROJECT_ID

    이 명령어의 출력에는 모든 값이 허용됩니다.

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - allowAll: true

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

조직 정책 삭제

리소스에서 조직 정책을 삭제할 수 있습니다. 조직 정책이 설정되지 않은 리소스는 상위 리소스의 모든 정책을 상속합니다. 조직 리소스의 조직 정책을 삭제하면 유효 정책이 제약조건의 기본 동작이 됩니다.

다음 단계에서는 조직의 조직 정책을 삭제하는 방법을 설명합니다.

  1. delete 명령어를 사용하여 조직 리소스의 정책을 삭제합니다.

    gcloud org-policies delete \
  LIST_CONSTRAINT \
  --organization=ORGANIZATION_ID

    ORGANIZATION_ID를 조직 리소스의 고유 식별자로 바꿉니다. 명령어를 실행하면 다음과 같이 출력됩니다.

    Deleted policy
[organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT].
{}

  2. 조직의 유효 정책을 가져와서 시행되지 않는 정책을 확인합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --organization=ORGANIZATION_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - allowAll: true

다음 단계에서는 프로젝트의 조직 정책을 삭제하는 방법을 설명합니다.

  1. delete 명령어를 사용하여 프로젝트의 정책을 삭제합니다.

    gcloud org-policies delete \
  LIST_CONSTRAINT \
  --project=PROJECT_ID

    여기에서 PROJECT_ID는 프로젝트의 고유 식별자입니다. 명령어를 실행하면 다음과 같이 출력됩니다.

    Deleted policy
[projects/PROJECT_ID/policies/LIST_CONSTRAINT].
{}

  2. 프로젝트의 유효 정책을 가져와서 시행되지 않는 정책을 확인합니다.

    gcloud org-policies describe \
  LIST_CONSTRAINT --effective \
  --project=PROJECT_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
spec:
  rules:
  - allowAll: true

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

조직 정책에서 부울 제약조건 사용

조직 리소스에 시행하도록 설정

조직 리소스에 조직 정책을 설정하여 부울 제약조건을 시행할 수 있습니다. 다음 프로세스에서는 Google Cloud CLI를 사용하여 조직 정책을 설정하는 방법을 설명합니다. Google Cloud 콘솔을 사용하여 조직 정책을 보고 설정하는 방법은 정책 만들기 및 관리를 참조하세요.

  1. describe 명령어를 사용하여 조직 리소스의 현재 정책을 가져옵니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT \
  --organization=ORGANIZATION_ID

    ORGANIZATION_ID를 조직 리소스의 고유 식별자로 바꿉니다. --folder 또는 --project 플래그와 폴더 ID 또는 프로젝트 ID를 각각 사용하여 조직 정책을 폴더 또는 프로젝트에 적용할 수도 있습니다.

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  2. set-policy 명령어를 사용하여 프로젝트에 정책을 설정합니다.

    1. 정책을 저장할 /tmp/policy.yaml 임시 파일을 만듭니다.

      name: organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT
spec:
  rules:
  - enforce: true

    2. set-policy 명령어를 실행합니다.

      gcloud org-policies set-policy /tmp/policy.yaml

  3. describe --effective를 사용하여 현재의 유효 정책을 확인합니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT --effective \
  --organization=ORGANIZATION_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: organizations/ORGANIZATION_ID/policies/BOOLEAN_POLICY
spec:
  rules:
  - enforce: true

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

프로젝트의 조직 정책 재정의

프로젝트의 조직 정책을 재정의하려면 프로젝트 아래 있는 계층 구조의 모든 리소스에 대해 부울 제약조건을 시행하지 못하게 하는 정책을 설정합니다.

  1. 리소스의 현재 정책을 가져옵니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT \
  --project=PROJECT_ID

    여기에서 PROJECT_ID는 프로젝트의 고유 식별자입니다.

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  2. 프로젝트의 유효 정책을 가져와서 제약조건이 이 프로젝트에 적용되고 있는지 확인합니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT --effective \
  --project=PROJECT_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: projects/PROJECT_ID/policies/BOOLEAN_POLICY
spec:
  rules:
  - enforce: true

  3. set-policy 명령어를 사용하여 프로젝트에 정책을 설정합니다.

    1. 정책을 저장할 /tmp/policy.yaml 임시 파일을 만듭니다.

      name: projects/PROJECT_ID/policies/BOOLEAN_CONSTRAINT
spec:
  rules:
  - enforce: false

    2. set-policy 명령어를 실행합니다.

      gcloud org-policies set-policy /tmp/policy.yaml

  4. 유효 정책을 가져와서 프로젝트에 더 이상 적용되지 않음을 확인합니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT --effective \
  --project=PROJECT_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    name: organizations/ORGANIZATION_ID/policies/BOOLEAN_POLICY
spec:
  rules:
  - enforce: false

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.

조직 정책 삭제

리소스에서 조직 정책을 삭제할 수 있습니다. 조직 정책이 설정되지 않은 리소스는 상위 리소스의 모든 정책을 상속합니다. 조직 리소스의 조직 정책을 삭제하면 유효 정책이 제약조건의 기본 동작이 됩니다.

다음 단계에서는 조직 및 프로젝트의 조직 정책을 삭제하는 방법을 설명합니다.

  1. delete 명령어를 사용하여 조직 리소스에서 정책을 삭제합니다.

    gcloud org-policies delete \
  BOOLEAN_CONSTRAINT \
  --organization=ORGANIZATION_ID

    ORGANIZATION_ID를 조직 리소스의 고유 식별자로 바꿉니다. 명령어를 실행하면 다음과 같이 출력됩니다.

    Deleted policy
[organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT].
{}

  2. 조직의 유효 정책을 가져와서 시행되지 않는 정책을 확인합니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT --effective \
  --organization=ORGANIZATION_ID

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

  3. delete 명령어를 사용하여 프로젝트에서 조직 정책을 삭제합니다.

    gcloud org-policies delete \
  BOOLEAN_CONSTRAINT \
  --project=PROJECT_ID

    명령어를 실행하면 다음과 같이 출력됩니다.

    Deleted policy
[organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT].
{}

  4. 프로젝트의 유효 정책을 가져와서 시행되지 않는 정책을 확인합니다.

    gcloud org-policies describe \
  BOOLEAN_CONSTRAINT --effective \
  --project=PROJECT_ID

    PROJECT_ID를 프로젝트의 고유 식별자로 바꿉니다.

    정책이 설정되지 않은 경우 NOT_FOUND 오류가 반환됩니다.

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.

조직 정책 변경사항이 완전히 적용되는 데 최대 15분이 걸릴 수 있습니다.