Google Cloud 機構政策可讓您透過程式集中控管機構資源。身為機構政策管理員，您可以定義機構政策，也就是一組稱為「限制」的限制，適用於Google Cloud 資源階層中的Google Cloud 資源和這些資源的子系。您可以在機構、資料夾或專案層級強制執行組織政策。
機構政策提供各種Google Cloud 服務的預先定義限制。不過，如要進一步自訂機構政策中受限制的特定欄位，也可以建立自訂機構政策。
優點
您可以透過自訂機構政策，根據支援的資源屬性 (例如程序名稱、來源類型和來源)，允許或拒絕建立資料沿襲程序。
政策繼承
根據預設，機構政策會由您強制執行政策的資源子系繼承。舉例來說，如果您對資料夾強制執行政策， Google Cloud 系統會對該資料夾中的所有專案強制執行政策。如要進一步瞭解這項行為及如何變更，請參閱「階層評估規則」。
定價
機構政策服務 (包括預先定義和自訂機構政策) 免費提供。
限制
自訂限制只能套用至資料沿襲
Process資源。不支援Runs和Events等其他資源。新實施的自訂限制不會套用至現有資源。
事前準備
- 請確認您知道機構 ID。
-
如要測試參照資料沿革資源的自訂機構政策，請建立新專案。在現有專案中測試這些機構政策，可能會中斷安全性工作流程。
-
In the Google Cloud console, go to the project selector page.
-
Click Create project.
-
Name your project. Make a note of your generated project ID.
-
Edit the other fields as needed.
-
Click Create.
-
必要的角色
如要取得管理機構政策所需的權限，請要求管理員為您授予機構的機構政策管理員 (roles/orgpolicy.policyAdmin) 身分與存取權管理角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。
這個預先定義的角色具備管理機構政策所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：
所需權限
如要管理組織政策，您必須具備下列權限：
-
orgpolicy.constraints.list -
orgpolicy.policies.create -
orgpolicy.policies.delete -
orgpolicy.policies.list -
orgpolicy.policies.update -
orgpolicy.policy.get -
orgpolicy.policy.set
建立自訂限制
自訂限制是在 YAML 檔案中定義，其中包含您要強制執行機構政策的服務所支援的資源、方法、條件和動作。自訂限制的條件是使用一般運算語言 (CEL) 定義。如要進一步瞭解如何使用 CEL 在自訂限制中建構條件，請參閱「建立及管理自訂限制」一文的 CEL 一節。
如要建立自訂限制的 YAML 檔案，請按照下列步驟操作：
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- datalineage.googleapis.com/RESOURCE_TYPE
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
更改下列內容：
ORGANIZATION_ID：您的機構 ID，例如123456789。CONSTRAINT_NAME：新自訂限制的名稱。自訂限制必須以custom.開頭，且只能包含大寫英文字母、小寫英文字母或數字，例如custom.denyLineageProcess。這個欄位的長度上限為 70 個字元，不含前置字元，例如organizations/123456789/customConstraints/custom。RESOURCE_TYPE：Data Lineage API REST 資源的名稱 (而非 URI)，其中包含您要限制的物件和欄位。資料沿襲僅適用於Process。CONDITION：針對支援服務資源的代表項目編寫的 CEL 條件。這個欄位的長度上限為 1000 個字元。如要進一步瞭解可編寫條件的資源，請參閱「支援的資源」。例如："resource.name.contains('invalid_name')"。ACTION：如果符合condition，則要採取的動作。可以是ALLOW或DENY。DISPLAY_NAME：限制條件的易記名稱。這個欄位的長度上限為 200 個字元。DESCRIPTION：違反政策時，要以錯誤訊息形式顯示的限制說明。這個欄位的長度上限為 2000 個字元。
如要進一步瞭解如何建立自訂限制，請參閱「定義自訂限制」。
設定自訂限制
為新的自訂限制建立 YAML 檔案後，您必須進行設定，才能在貴機構的機構政策中使用該檔案。如要設定自訂限制，請使用gcloud org-policies set-custom-constraint 指令：
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH 替換為自訂限制檔案的完整路徑。例如：/home/user/customconstraint.yaml。
完成後，自訂限制就會顯示在 Google Cloud 機構政策清單中，做為機構政策使用。如要確認自訂限制條件是否存在，請使用 gcloud org-policies list-custom-constraints 指令：gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID 替換為機構資源的 ID。
詳情請參閱「查看組織政策」。
強制執行自訂機構政策
如要強制執行限制，請建立參照該限制的機構政策，然後將該政策套用至 Google Cloud 資源。控制台
- 前往 Google Cloud 控制台的「Organization policies」(機構政策) 頁面。
- 在專案選擇工具中，選取要設定機構政策的專案。
- 在「Organization policies」(機構政策) 頁面上的清單中選取限制條件，即可查看該限制條件的「Policy details」(政策詳情) 頁面。
- 如要設定資源的機構政策，請按一下「管理政策」。
- 在「編輯政策」頁面中，選取「覆寫上層政策」。
- 按一下「新增規則」。
- 在「Enforcement」(強制執行) 區段中，選取是否要強制執行這項機構政策。
- 選用：如要根據標記設定機構政策條件，請按一下「新增條件」。請注意，如果為組織政策新增條件式規則，您必須至少新增一項無條件規則，否則無法儲存政策。詳情請參閱「使用標記設定組織政策」。
- 按一下「測試變更」，模擬機構政策的影響。舊版受管理限制不支援政策模擬。詳情請參閱「 使用 Policy Simulator 測試組織政策變更」。
- 如要完成並套用機構政策，請按一下「設定政策」。這項政策最多需要 15 分鐘才會生效。
gcloud
如要建立含有布林值規則的機構政策，請建立參照限制的政策 YAML 檔案：
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
取代下列項目：
-
PROJECT_ID：您要強制執行限制的專案。 -
CONSTRAINT_NAME：您為自訂限制定義的名稱。例如：custom.denyLineageProcess。
如要強制執行包含限制的機構政策，請執行下列指令：
gcloud org-policies set-policy POLICY_PATH
將 POLICY_PATH 替換為機構政策 YAML 檔案的完整路徑。這項政策最多需要 15 分鐘才會生效。
測試自訂機構政策
本節說明如何測試機構政策限制，禁止使用者建立名稱含有 invalid_name 文字的資料沿襲程序。
如要測試這項自訂限制，請按照下列步驟操作：
如「事前準備」一節所述，建立新專案。
將下列限制複製到 YAML 檔案中：
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcess resourceTypes: datalineage.googleapis.com/Process methodTypes: - CREATE - UPDATE condition: "resource.name.contains('invalid_name')" actionType: DENY displayName: Do not allow data lineage process with 'invalid_name' to be created.將
ORGANIZATION_ID替換為機構的數字 ID。Google Cloud使用您在自訂限制條件中加入的名稱建立程序。
curl -s -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application.json" \ "https://datalineage.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/processes" \ -d '{"name":"projects/PROJECT_ID/locations/LOCATION/processes/invalid_name"}'
更改下列內容：
PROJECT_ID：建立程序的專案 ID。必須與定義限制條件的機構相同。LOCATION：建立程序的 Google Cloud 區域。
輸出內容如下：
Operation denied by org policy on resource 'projects/PROJECT_ID/locations/LOCATION': ["customConstraints/custom.denyLineageProcess"]
資料歷程支援的資源和作業
建立或更新資料沿襲程序時，可使用下列自訂限制欄位：
resource.nameresource.displayNameresource.origin.nameresource.origin.sourceType
系統會檢查下列方法的自訂限制：
常見用途的自訂機構政策範例
下表提供常見用途的一些自訂限制語法：
如要進一步瞭解可在自訂限制條件中使用的 CEL 巨集，請參閱「一般運算語言」。
| 用途 | 限制語法 |
|---|---|
| 停用資料歷程程序建立功能 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation resourceTypes: - datalineage.googleapis.com/Process methodTypes: - CREATE condition: "True" actionType: DENY displayName: Deny creation of all data lineage processes. |
| 禁止 BigQuery 或 Dataproc 建立資料沿襲程序 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation resourceTypes: - datalineage.googleapis.com/Process methodTypes: - CREATE condition: "resource.origin.sourceType == 'BIGQUERY' || resource.origin.sourceType == 'DATAPROC'" actionType: DENY displayName: Deny data lineage processes created by BigQuery or Dataproc. |
| 停用具有指定名稱的資料歷程程序 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation resourceTypes: - datalineage.googleapis.com/Process methodTypes: - CREATE - UPDATE condition: "resource.name.contains('RESTRICTED_NAME')" actionType: DENY displayName: Deny data lineage processes whose name contains RESTRICTED_NAME. |