Menggunakan kebijakan organisasi kustom untuk kebijakan izin

Halaman ini menunjukkan cara menggunakan batasan kustom Layanan Kebijakan Organisasi untuk membatasi operasi tertentu pada resource Google Cloud berikut:

• iam.googleapis.com/AllowPolicy

Untuk mempelajari Kebijakan Organisasi lebih lanjut, lihat Kebijakan organisasi kustom.

Tentang batasan dan kebijakan organisasi

Layanan Kebijakan Organisasi Google Cloud memberi Anda kontrol terpusat dan terprogram atas resource organisasi. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk resource Google Cloud dan turunan dari resource tersebut di Hierarki resource Google Cloud. Anda dapat menerapkan kebijakan organisasi di tingkat organisasi, folder, atau project.

Kebijakan Organisasi memberikan batasan yang telah ditetapkan untuk berbagai layanan Google Cloud. Namun, jika ingin kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat batasan khusus dan menggunakan batasan khusus tersebut dalam kebijakan organisasi.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari lebih lanjut perilaku ini dan cara mengubahnya, lihat Aturan evaluasi hierarki.

Manfaat

Anda dapat menggunakan kebijakan organisasi kustom yang mereferensikan atribut IAM untuk mengontrol cara kebijakan izin dapat diubah. Secara khusus, Anda dapat mengontrol hal berikut:

• Siapa yang dapat diberi peran
• Orang yang dapat dicabut perannya
• Peran yang dapat diberikan
• Peran yang dapat dicabut

Misalnya, Anda dapat mencegah peran yang berisi kata admin agar tidak diberikan kepada akun utama yang alamat emailnya diakhiri dengan @gmail.com.

Batasan

• Kebijakan organisasi kustom dalam mode uji coba yang mereferensikan atribut IAM memiliki beberapa batasan. Yaitu, log audit untuk pelanggaran yang melibatkan metode setIamPolicy mungkin tidak memiliki kolom berikut:

  • resourceName
  • serviceName
  • methodName

• Log audit tidak dibuat untuk semua pelanggaran kebijakan organisasi kustom terkait IAM. Yaitu, jika kebijakan organisasi kustom menyebabkan operasi setIamPolicy pada resource organisasi gagal, Google Cloud tidak akan membuat log audit untuk peristiwa tersebut.

• Kebijakan organisasi kustom yang mereferensikan atribut IAM tidak memengaruhi hal berikut:

  • Pemberian default oleh ACL Cloud Storage.
  • Pemberian peran otomatis untuk nilai kemudahan Cloud Storage dan akses set data default BigQuery.
  • Peran yang diberikan oleh kebijakan izin default—misalnya, pembuat project otomatis diberi peran Pemilik (roles/owner) pada project.

• Pengguna dapat menerima undangan untuk menjadi pemilik, meskipun Anda memiliki kebijakan organisasi kustom yang mencegah peran Pemilik (roles/owner) diberikan. Namun, meskipun kebijakan organisasi kustom tidak mencegah undangan dikirim, kebijakan tersebut mencegah pengguna yang diundang diberi peran Pemilik. Jika pengguna yang diundang mencoba menerima undangan, mereka akan mengalami error dan tidak akan diberi peran Pemilik.

• Beberapa tindakan di Google Cloud, seperti membuat resource atau mengaktifkan API, melibatkan pemberian peran secara otomatis ke agen layanan atau akun layanan default. Jika tindakan melibatkan pemberian peran secara otomatis dan kebijakan organisasi mencegah peran tersebut diberikan, seluruh operasi mungkin akan gagal.

  Jika mengalami masalah ini, Anda dapat menggunakan tag untuk menonaktifkan sementara batasan yang mencegah pemberian peran. Kemudian, lakukan tindakan. Setelah tindakan selesai, aktifkan kembali batasan.

Sebelum memulai

• Jika Anda ingin menguji kebijakan organisasi kustom yang mereferensikan resource IAM, buat project baru. Menguji kebijakan organisasi ini dalam project yang ada dapat mengganggu alur kerja keamanan.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

     Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk mengelola kebijakan organisasi, minta administrator untuk memberi Anda peran IAM berikut:

• Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi
• Uji kebijakan organisasi yang dijelaskan di halaman ini: Project IAM Admin (roles/resourcemanager.projectIamAdmin) pada project

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk mengelola kebijakan organisasi. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk mengelola kebijakan organisasi:

• orgpolicy.* di organisasi
• Uji kebijakan organisasi yang dijelaskan di halaman ini: resourcemanager.projects.setIamPolicy pada project

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat batasan khusus

Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membangun kondisi dalam batasan khusus menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

Untuk membuat batasan khusus, buat file YAML menggunakan format berikut:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ganti kode berikut:

• ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.

• CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus diawali dengan custom., dan hanya dapat menyertakan huruf besar, huruf kecil, atau angka, misalnya, custom.denyProjectIAMAdmin. Panjang maksimum kolom ini adalah 70 karakter.

• RESOURCE_NAME: nama lengkap resource Google Cloud yang berisi objek dan kolom yang ingin Anda batasi. Contoh, iam.googleapis.com/AllowPolicy.

• CONDITION: kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini memiliki panjang maksimal 1.000 karakter. Lihat Resource yang didukung untuk mengetahui informasi selengkapnya tentang resource yang tersedia untuk menulis kondisi. Contoh, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']))

• ACTION: tindakan yang akan diambil jika condition terpenuhi. Kemungkinan nilainya adalah ALLOW dan DENY.

• DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.

• DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2.000 karakter.

Untuk mengetahui informasi selengkapnya tentang cara membuat batasan kustom, lihat Menentukan batasan kustom.

Menyiapkan batasan kustom

Setelah membuat file YAML untuk batasan khusus baru, Anda harus menyiapkannya agar tersedia untuk kebijakan organisasi di organisasi Anda. Untuk menyiapkan batasan kustom, gunakan perintah gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Ganti CONSTRAINT_PATH dengan jalur lengkap ke file batasan kustom Anda. Contohnya, /home/user/customconstraint.yaml Setelah selesai, batasan khusus Anda akan tersedia sebagai kebijakan organisasi dalam daftar kebijakan organisasi Google Cloud Anda. Untuk memverifikasi bahwa ada batasan kustom, gunakan perintah gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Ganti ORGANIZATION_ID dengan ID fasilitas organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat Melihat kebijakan organisasi.

Menerapkan kebijakan organisasi kustom

Anda dapat menerapkan batasan boolean dengan membuat kebijakan organisasi yang mereferensikannya, lalu menerapkan kebijakan organisasi tersebut ke resource Google Cloud.

Konsol

1. Di konsol Google Cloud, buka halaman Organization policies.

   Buka Organization policies

2. Dari pemilih project, pilih project yang ingin Anda tetapkan kebijakan organisasinya.
3. Dari daftar di halaman Organization policies, pilih batasan untuk melihat halaman Policy details untuk batasan tersebut.
4. Untuk mengonfigurasi kebijakan organisasi untuk resource ini, klik Manage policy.
5. Di halaman Edit policy, pilih Override parent's policy.
6. Klik Add a rule.
7. Di bagian Enforcement, pilih apakah penerapan kebijakan organisasi ini diaktifkan atau dinonaktifkan.
8. Opsional: Untuk membuat kebijakan organisasi bersyarat pada tag, klik Add condition. Perhatikan bahwa jika menambahkan aturan kondisional ke kebijakan organisasi, Anda harus menambahkan setidaknya satu aturan tanpa syarat atau kebijakan tidak dapat disimpan. Untuk mengetahui informasi selengkapnya, lihat Menetapkan kebijakan organisasi dengan tag.
9. Jika ini adalah batasan kustom, Anda dapat mengklik Uji perubahan untuk menyimulasikan efek kebijakan organisasi ini. Untuk mengetahui informasi selengkapnya, lihat Menguji perubahan kebijakan organisasi dengan Policy Simulator.
10. Untuk menyelesaikan dan menerapkan kebijakan organisasi, klik Set policy. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

gcloud

Untuk membuat kebijakan organisasi yang menerapkan batasan boolean, buat file YAML kebijakan yang merujuk batasan tersebut:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

Ganti kode berikut:

• PROJECT_ID: project tempat Anda ingin menerapkan batasan.
• CONSTRAINT_NAME: nama yang Anda tentukan untuk batasan kustom. Contoh, custom.denyProjectIAMAdmin

Untuk menerapkan kebijakan organisasi yang berisi batasan, jalankan perintah berikut:

    gcloud org-policies set-policy POLICY_PATH
    

Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

Menguji kebijakan organisasi kustom

Secara opsional, Anda dapat menguji kebijakan organisasi dengan menetapkan kebijakan, lalu mencoba mengambil tindakan yang seharusnya dicegah oleh kebijakan.

Membuat batasan

1. Simpan file berikut sebagai constraint-deny-project-iam-admin.

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ganti nilai berikut:

   • ORG_ID: ID numerik dari organisasi Google Cloud Anda.
   • MEMBER_EMAIL_ADDRESS: alamat email prinsipal yang ingin Anda gunakan untuk menguji batasan kustom. Saat batasan aktif, akun utama ini tidak akan dapat diberi peran Admin IAM Project (roles/resourcemanager.projectIamAdmin) di project tempat Anda menerapkan batasan.

2. Terapkan batasan:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Pastikan batasan ada:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Membuat kebijakan

1. Simpan file berikut sebagai policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ganti PROJECT_ID dengan project ID Anda.

2. Terapkan kebijakan:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Pastikan kebijakan ada:

   gcloud org-policies list --project=PROJECT_ID
   

Setelah Anda menerapkan kebijakan, tunggu sekitar dua menit hingga Google Cloud mulai menerapkan kebijakan tersebut.

Menguji kebijakan

Coba berikan peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) kepada akun utama yang alamat emailnya Anda sertakan dalam batasan kustom. Sebelum menjalankan perintah, ganti nilai berikut:

• PROJECT_ID: ID project Google Cloud tempat Anda menerapkan batasan
• EMAIL_ADDRESS: Alamat email akun utama yang Anda tentukan saat membuat batasan kebijakan organisasi.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Outputnya adalah sebagai berikut:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Contoh kebijakan organisasi kustom untuk kasus penggunaan umum

Tabel berikut memberikan sintaksis beberapa batasan kustom untuk kasus penggunaan umum.

Contoh berikut menggunakan makro CEL all dan exists. Untuk mengetahui informasi selengkapnya tentang makro ini, lihat Makro.

Deskripsi	Sintaksis batasan
Memblokir kemampuan untuk memberikan peran tertentu.	name: organizations/ORG_ID/customConstraints/custom.denyRole resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameMatches(binding.role, ['ROLE']) )" actionType: DENY displayName: Do not allow the ROLE role to be granted
Hanya izinkan peran tertentu yang diberikan.	name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) )" actionType: ALLOW displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted
Cegah peran apa pun yang diawali dengan roles/storage. agar tidak diberikan.	name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) )" actionType: DENY displayName: Prevent roles that start with "roles/storage." from being granted
Mencegah peran apa pun dengan admin dalam namanya agar tidak dicabut.	name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, RoleNameContains(binding.role, ['admin']) )" actionType: DENY displayName: Prevent roles with "admin" in their names from being revoked
Hanya mengizinkan akun utama tertentu untuk diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT']) ) )" actionType: ALLOW displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT
Mencegah pencabutan peran dari akun utama tertentu.	name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectMatches(member, ['user:USER_1','user:USER_2']) ) )" actionType: DENY displayName: Do not allow roles to be revoked from USER_1 or USER_2
Mencegah akun utama dengan alamat email yang diakhiri dengan @gmail.com agar tidak diberi peran.	name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectEndsWith(member, ['@gmail.com']) ) )" actionType: DENY displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Hanya izinkan peran tertentu diberikan, dan hanya kepada akun utama tertentu.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) && binding.members.all(member, MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP']) ) )" actionType: ALLOW displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP
Mencegah peran Cloud Storage diberikan ke allUsers dan allAuthenticatedUsers.	name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) && binding.members.exists(member, MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers']) ) )" actionType: DENY displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers
Cegah identitas di luar organisasi Anda agar tidak diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID']) ) )" actionType: ALLOW displayName: Only allow organization members to be granted roles
Hanya izinkan akun layanan yang diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount']) ) )" actionType: ALLOW displayName: Only allow service accounts to be granted roles

Resource yang didukung Identity and Access Management

IAM mendukung resource AllowPolicy. Resource ini memiliki atribut resources.bindings, yang ditampilkan untuk semua metode yang mengubah kebijakan izin resource. Semua metode yang mengubah kebijakan izin resource diakhiri dengan setIamPolicy.

Atribut resource.bindings memiliki struktur berikut, dengan BINDINGS adalah array binding peran yang diubah selama perubahan pada kebijakan izin:

{
  "bindings": {
    BINDINGS
  }
}

Setiap binding di resource.bindings memiliki struktur berikut, dengan ROLE adalah nama peran dalam binding peran dan MEMBERS adalah daftar ID untuk akun utama yang ditambahkan ke atau dihapus dari binding peran:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Untuk melihat format yang dapat dimiliki ID utama, lihat ID utama.

Anda hanya dapat mengevaluasi atribut resource.bindings dan kolomnya menggunakan fungsi yang didukung. Operator dan fungsi lainnya—seperti ==, !=, in, contains, startsWith, dan endsWith—tidak didukung.

Fungsi yang didukung

Anda dapat menggunakan fungsi CEL berikut untuk mengevaluasi kolom role dan members dari resource binding. Saat menggunakan fungsi ini, Anda juga dapat menggunakan operator logis && (and) dan || (or) untuk menulis kondisi multibagian.

Fungsi	Deskripsi
RoleNameMatches(   role,   roleNames: list )   bool	Menampilkan true jika peran role sepenuhnya cocok dengan setidaknya salah satu peran yang tercantum dalam roleNames. Parameter role: peran yang akan dievaluasi. roleNames: daftar nama peran yang akan dicocokkan. Contoh Menampilkan true jika role dalam binding yang ditentukan adalah roles/storage.admin atau roles/compute.admin: RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
RoleNameStartsWith(   role,   rolePrefixes: list )   bool	Menampilkan true jika peran role dimulai dengan setidaknya salah satu string yang tercantum dalam rolePrefixes. Parameter role: peran yang akan dievaluasi. rolePrefixes: daftar string yang akan dicocokkan dengan awal peran. Contoh Menampilkan true jika role dalam binding yang ditentukan dimulai dengan roles/storage: RoleNameStartsWith(binding.role, ['roles/storage'])
RoleNameEndsWith(   role,   roleSuffixes: list )   bool	Menampilkan true jika peran role diakhiri dengan setidaknya salah satu string yang tercantum dalam roleSuffixes. Parameter role: peran yang akan dievaluasi. roleSuffixes: daftar string yang akan dicocokkan dengan akhir peran. Contoh Menampilkan true jika role dalam binding yang ditentukan diakhiri dengan .admin: RoleNameEndsWith(binding.role, ['.admin'])
RoleNameContains(   role,   roleSubstrings: list )   bool	Menampilkan true jika peran role berisi setidaknya salah satu string yang tercantum dalam roleSubstrings. Parameter role: peran yang akan dievaluasi. roleSubstrings: daftar string yang akan dicocokkan dengan bagian apa pun dari peran. Contoh Menampilkan true jika role dalam binding yang ditentukan berisi string admin: RoleNameContains(binding.role, ['admin'])
MemberSubjectMatches(   member,   memberNames: list )   bool	Menampilkan true jika anggota member sepenuhnya cocok dengan setidaknya salah satu anggota yang tercantum dalam memberNames. Jika ID untuk member adalah alamat email, fungsi ini hanya mengevaluasi alamat email tersebut—tidak mengevaluasi alias apa pun untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberNames: daftar nama anggota yang akan dicocokkan. Contoh Menampilkan true jika anggota member adalah [e-mail]: MemberSubjectMatches(member, ['user:[e-mail]'])
MemberSubjectStartsWith(   member,   memberPrefixes: list )   bool	Menampilkan true jika anggota member dimulai dengan setidaknya salah satu string yang tercantum dalam memberPrefixes. Jika ID untuk member adalah alamat email, fungsi ini hanya mengevaluasi alamat email tersebut—tidak mengevaluasi alias apa pun untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberPrefixes: daftar string yang akan dicocokkan dengan awal nama anggota. Contoh Menampilkan true jika anggota member dimulai dengan user:prod-: MemberSubjectStartsWith(member, ['user:prod-'])
MemberSubjectEndsWith(   member,   memberSuffixes: list )   bool	Menampilkan true jika anggota member diakhiri dengan setidaknya salah satu string yang tercantum dalam memberSuffixes. Jika ID untuk member adalah alamat email, fungsi ini hanya mengevaluasi alamat email tersebut—tidak mengevaluasi alias apa pun untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberSuffixes: daftar string yang akan dicocokkan dengan akhir nama anggota. Contoh Menampilkan true jika anggota member diakhiri dengan @example.com: MemberSubjectEndsWith(member, ['@example.com'])
MemberInPrincipalSet(   member,   principalSets: list )   bool	Menampilkan true jika anggota termasuk dalam setidaknya salah satu kumpulan akun utama yang tercantum. Parameter member: anggota yang akan dievaluasi. principalSets: daftar kumpulan akun utama. Agar fungsi mengevaluasi ke true, anggota harus berada di setidaknya salah satu set utama ini. Satu-satunya kumpulan akun utama yang didukung adalah kumpulan akun utama organisasi, yang memiliki format //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID. Saat digunakan dalam fungsi MemberInPrincipalSet, kumpulan akun utama ini mencakup akun utama berikut: Semua identitas di semua domain yang terkait dengan ID pelanggan Google Workspace Anda Semua kumpulan identitas tenaga kerja di organisasi Anda Semua akun layanan dan workload identity pool di project apa pun di organisasi Semua agen layanan yang terkait dengan resource di organisasi Anda. Contoh Menampilkan true jika anggota member termasuk dalam organisasi @example.com, yang memiliki ID 123456789012: MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
MemberTypeMatches(   member,   principalType: list )   bool	Menampilkan true jika anggota adalah salah satu jenis akun utama yang tercantum. Parameter member: anggota yang akan dievaluasi. principalType: daftar jenis akun utama. Agar fungsi dievaluasi ke true, anggota harus merupakan salah satu jenis utama yang tercantum. Untuk mempelajari jenis akun utama yang didukung, lihat Jenis akun utama yang didukung untuk MemberTypeMatches. Contoh Menampilkan true jika anggota member memiliki jenis akun utama iam.googleapis.com/WorkspacePrincipal atau iam.googleapis.com/WorkspaceGroup: MemberTypeMatches(member, ['iam.googleapis.com/WorkspacePrincipal', 'iam.googleapis.com/WorkspaceGroup'])

Jenis akun utama yang didukung untuk MemberTypeMatches

Fungsi MemberTypeMatches mengharuskan Anda menentukan jenis akun utama yang harus cocok dengan anggota yang ditentukan.

Tabel berikut mencantumkan jenis akun utama yang dapat Anda masukkan dan deskripsi tentang apa yang diwakili oleh jenis akun utama. File ini juga mencantumkan ID utama yang sesuai dengan setiap jenis utama. ID ini adalah nilai yang digunakan dalam kebijakan IAM.

Jenis Utama:	Deskripsi	ID utama
iam.googleapis.com/ConsumerPrincipal	Akun Google konsumen. Alamat email untuk akun ini biasanya berakhir dengan gmail.com.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/WorkspacePrincipal	Akun Google yang merupakan bagian dari akun Cloud Identity atau Google Workspace. Akun ini juga disebut akun pengguna terkelola.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/ConsumerGroup	Grup Google yang dibuat oleh Akun Google konsumen. Grup ini tidak dimiliki oleh akun Cloud Identity atau Google Workspace. Alamat email untuk grup ini biasanya berakhiran googlegroups.com.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/WorkspaceGroup	Grup Google yang dimiliki oleh akun Cloud Identity atau Google Workspace.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/Domain	Akun Cloud Identity atau Google Workspace.	domain:DOMAIN
iam.googleapis.com/WorkforcePoolPrincipal	Satu akun utama dalam workforce identity pool.	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkforcePoolPrincipalSet	Kumpulan akun utama yang berisi kumpulan identitas dalam kumpulan identitas tenaga kerja. Misalnya, kumpulan akun utama yang berisi semua akun utama dalam kumpulan identitas tenaga kerja.	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
iam.googleapis.com/WorkloadPoolPrincipal	Satu identitas dalam workload identity pool	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkloadPoolPrincipalSet	Kumpulan akun utama yang berisi kumpulan identitas dalam workload identity pool. Misalnya, set akun utama yang berisi semua akun utama dalam workload identity pool.	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
iam.googleapis.com/ServiceAccount	Akun layanan apa pun. Akun layanan adalah jenis akun khusus yang mewakili workload, bukan pengguna manusia. Dalam konteks fungsi MemberTypeMatches, jenis akun utama ini tidak menyertakan agen layanan.	serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS
iam.googleapis.com/ServiceAgent	Agen layanan apa pun. Agen layanan adalah jenis akun layanan khusus yang dibuat dan dikelola oleh Google Cloud. Saat diberi peran di project Anda, agen layanan memungkinkan layanan Google Cloud melakukan tindakan atas nama Anda.	serviceAccount:SERVICE_AGENT_EMAIL_ADDRESS
iam.googleapis.com/PublicPrincipals	Akun utama allUsers dan allAuthenticatedUsers.	allUsers allAuthenticatedUsers
iam.googleapis.com/ProjectRoleReference	Akun utama yang ditentukan berdasarkan peran yang diberikan kepada mereka. Prinsip ini juga disebut nilai praktis.	projectOwner:PROJECT_ID projectEditor:PROJECT_ID projectViewer:PROJECT_ID

Langkah selanjutnya

• Pelajari Layanan Kebijakan Organisasi lebih lanjut.
• Pelajari lebih lanjut cara membuat dan mengelola kebijakan organisasi.
• Lihat daftar lengkap batasan kebijakan organisasi yang telah ditentukan.