Halaman ini diterjemahkan oleh Cloud Translation API.

Menggunakan kebijakan organisasi kustom

Kebijakan Organisasi Google Cloud memberi Anda kontrol terpusat dan terprogram atas resource organisasi. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk resource Google Cloud dan turunan dari resource tersebut di Hierarki resource Google Cloud. Anda dapat menerapkan kebijakan organisasi di level organisasi, folder, atau project.

Kebijakan Organisasi memberikan batasan yang telah ditetapkan untuk berbagai layanan Google Cloud. Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat kebijakan organisasi kustom.

Manfaat

Anda dapat menggunakan kebijakan organisasi kustom yang mereferensikan atribut IAM untuk mengontrol cara kebijakan izin dapat diubah. Secara khusus, Anda dapat mengontrol hal berikut:

Siapa yang dapat diberi peran
Orang yang dapat dicabut perannya
Peran yang dapat diberikan
Peran yang dapat dicabut

Misalnya, Anda dapat mencegah peran yang berisi kata admin agar tidak diberikan kepada akun utama yang alamat emailnya diakhiri dengan @gmail.com.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari perilaku ini dan cara mengubahnya lebih lanjut, lihat Aturan evaluasi hierarki.

Harga

Layanan Kebijakan Organisasi, termasuk kebijakan organisasi yang telah ditetapkan dan khusus, ditawarkan tanpa biaya.

Batasan

Kebijakan organisasi kustom dalam mode uji coba yang mereferensikan atribut IAM memiliki beberapa batasan. Yaitu, log audit untuk pelanggaran yang melibatkan metode setiamPolicy mungkin tidak memiliki kolom berikut:

resourceName
serviceName
methodName

Sebelum memulai

Pastikan Anda mengetahui ID organisasi Anda.
Jika Anda ingin menguji kebijakan organisasi kustom yang mereferensikan resource IAM, buat project baru. Menguji kebijakan organisasi ini dalam project yang ada dapat mengganggu alur kerja keamanan.
1. Di konsol Google Cloud, buka halaman Pemilih project.
  
  Buka pemilih project
2. Pilih atau buat project Google Cloud.
  
  Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk mengelola kebijakan organisasi, minta administrator untuk memberi Anda peran IAM berikut:

Administrator kebijakan organisasi (roles/orgpolicy.policyAdmin) di organisasi
Ubah kebijakan IAM project Anda: Project IAM Admin (roles/resourcemanager.projectIamAdmin) pada project tersebut

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk mengelola kebijakan organisasi. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk mengelola kebijakan organisasi:

orgpolicy.constraints.list
orgpolicy.policies.create
orgpolicy.policies.delete
orgpolicy.policies.list
orgpolicy.policies.update
orgpolicy.policy.get
orgpolicy.policy.set
resourcemanager.projects.setIamPolicy

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat batasan khusus

Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membangun kondisi dalam batasan khusus menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

Untuk membuat file YAML untuk batasan kustom:

name: organizations/ORG_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  METHOD_TYPE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ganti kode berikut:

ORG_ID: ID organisasi Anda, seperti 123456789.
CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus dimulai dengan custom., dan hanya dapat menyertakan huruf besar, huruf kecil, atau angka, misalnya, custom.denyProjectIAMAdmin. Panjang maksimum kolom ini adalah 70 karakter, tidak menghitung awalan, misalnya, organizations/123456789/customConstraints/custom.
METHOD_TYPE: jenis tindakan yang ingin Anda terapkan untuk batasan. Jika Anda ingin batasan diterapkan saat seseorang mencoba memberikan peran kepada akun utama, gunakan nilai berikut:
```
- CREATE
- UPDATE
```
Catatan: Anda harus menyertakan kedua nilai untuk menerapkan batasan dengan benar.

Jika Anda ingin batasan diterapkan saat seseorang mencoba mencabut peran prinsipal, gunakan nilai berikut:
```
- REMOVE_GRANT
```
CONDITION: kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini memiliki panjang maksimal 1.000 karakter. Lihat Atribut yang didukung untuk mengetahui informasi selengkapnya tentang atribut yang tersedia untuk menulis kondisi. Contoh, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).
ACTION: tindakan yang akan diambil jika condition terpenuhi. Ini dapat berupa ALLOW atau DENY.
DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.
DESCRIPTION: optional. Deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2000 karakter.

Untuk mengetahui informasi selengkapnya tentang cara membuat batasan kustom, lihat Menentukan batasan kustom.

Menyiapkan batasan kustom

Setelah membuat file YAML untuk batasan khusus baru, Anda harus menyiapkannya agar tersedia untuk kebijakan organisasi di organisasi Anda. Untuk menyiapkan batasan kustom, gunakan perintah gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Ganti CONSTRAINT_PATH dengan jalur lengkap ke file batasan kustom Anda. Contohnya, /home/user/customconstraint.yaml Setelah selesai, batasan khusus Anda akan tersedia sebagai kebijakan organisasi dalam daftar kebijakan organisasi Google Cloud Anda. Untuk memverifikasi bahwa ada batasan kustom, gunakan perintah gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Ganti ORGANIZATION_ID dengan ID fasilitas organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat Melihat kebijakan organisasi.

Menerapkan kebijakan organisasi kustom

Anda dapat menerapkan batasan boolean dengan membuat kebijakan organisasi yang mereferensikannya, lalu menerapkan kebijakan organisasi tersebut ke resource Google Cloud.

Konsol

Di konsol Google Cloud, buka halaman Organization policies.
Buka Organization policies
Dari pemilih project, pilih project yang ingin Anda tetapkan kebijakan organisasinya.
Dari daftar di halaman Organization policies, pilih batasan untuk melihat halaman Policy details untuk batasan tersebut.
Untuk mengonfigurasi kebijakan organisasi untuk resource ini, klik Manage policy.
Di halaman Edit policy, pilih Override parent's policy.
Klik Add a rule.
Di bagian Enforcement, pilih apakah penerapan kebijakan organisasi ini diaktifkan atau dinonaktifkan.
Opsional: Untuk membuat kebijakan organisasi bersyarat pada tag, klik Add condition. Perhatikan bahwa jika menambahkan aturan kondisional ke kebijakan organisasi, Anda harus menambahkan setidaknya satu aturan tanpa syarat atau kebijakan tidak dapat disimpan. Untuk mengetahui informasi selengkapnya, lihat Menetapkan kebijakan organisasi dengan tag.
Jika ini adalah batasan kustom, Anda dapat mengklik Uji perubahan untuk menyimulasikan efek kebijakan organisasi ini. Untuk mengetahui informasi selengkapnya, lihat Menguji perubahan kebijakan organisasi dengan Policy Simulator.
Untuk menyelesaikan dan menerapkan kebijakan organisasi, klik Set policy. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

gcloud

Untuk membuat kebijakan organisasi yang menerapkan batasan boolean, buat file YAML kebijakan yang merujuk batasan tersebut:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Ganti kode berikut:

PROJECT_ID: project tempat Anda ingin menerapkan batasan.
CONSTRAINT_NAME: nama yang Anda tentukan untuk batasan kustom. Contoh, custom.denyProjectIAMAdmin

Untuk menerapkan kebijakan organisasi yang berisi batasan, jalankan perintah berikut:

    gcloud org-policies set-policy POLICY_PATH

Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

Menguji kebijakan organisasi kustom

Secara opsional, Anda dapat menguji kebijakan organisasi dengan menetapkan kebijakan, lalu mencoba mengambil tindakan yang seharusnya dicegah oleh kebijakan.

Bagian ini menjelaskan cara menguji batasan kebijakan organisasi berikut:

name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
    )
  )"
actionType: DENY
displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.

Jika Anda ingin menguji batasan kustom ini, lakukan langkah berikut:

Salin batasan ke dalam file YAML dan ganti nilai berikut:
- ORG_ID: ID numerik dari organisasi Google Cloud Anda.
- MEMBER_EMAIL_ADDRESS: alamat email prinsipal yang ingin Anda gunakan untuk menguji batasan kustom. Saat batasan aktif, akun utama ini tidak akan dapat diberi peran Admin IAM Project (roles/resourcemanager.projectIamAdmin) di project tempat Anda menerapkan batasan.
Siapkan batasan kustom dan terapkan untuk project yang Anda buat untuk menguji batasan kebijakan organisasi kustom.
Coba berikan peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) kepada akun utama yang alamat emailnya Anda sertakan dalam batasan kustom. Sebelum menjalankan perintah, ganti nilai berikut:
- PROJECT_ID: ID project Google Cloud tempat Anda menerapkan batasan
- EMAIL_ADDRESS: Alamat email akun utama yang Anda tentukan saat membuat batasan kebijakan organisasi.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Outputnya adalah sebagai berikut:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Atribut yang didukung Identity and Access Management

IAM mendukung atribut resources.bindings. Atribut ini ditampilkan untuk semua metode yang mengubah kebijakan izin resource. Semua metode ini diakhiri dengan setIamPolicy.

Atribut resource.bindings memiliki struktur berikut, dengan BINDINGS adalah array binding peran yang diubah selama perubahan pada kebijakan izin:

{
  "bindings": {
    BINDINGS
  }
}

Setiap binding di resource.bindings memiliki struktur berikut, dengan ROLE adalah nama peran dalam binding peran dan MEMBERS adalah daftar ID untuk akun utama yang ditambahkan ke atau dihapus dari binding peran:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Untuk melihat format yang dapat dimiliki ID utama, lihat ID utama.

Anda hanya dapat mengevaluasi atribut resource.bindings dan kolomnya menggunakan fungsi yang didukung. Operator dan fungsi lainnya—seperti ==, !=, in, contains, startsWith, dan endsWith—tidak didukung.

Fungsi yang didukung

Anda dapat menggunakan fungsi CEL berikut untuk mengevaluasi kolom role dan members dari resource binding. Saat menggunakan fungsi ini, Anda juga dapat menggunakan operator logis && (and) dan || (or) untuk menulis kondisi multibagian.

Fungsi	Deskripsi
`RoleNameMatches( role, roleNames: list )` `bool`	Menampilkan `true` jika peran `role` sepenuhnya cocok dengan setidaknya salah satu peran yang tercantum dalam `roleNames`. Parameter `role`: peran yang akan dievaluasi. `roleNames`: daftar nama peran yang akan dicocokkan. Contoh Menampilkan `true` jika `role` dalam `binding` yang ditentukan adalah `roles/storage.admin` atau `roles/compute.admin`: RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
`RoleNameStartsWith( role, rolePrefixes: list )` `bool`	Menampilkan `true` jika peran `role` dimulai dengan setidaknya salah satu string yang tercantum dalam `rolePrefixes`. Parameter `role`: peran yang akan dievaluasi. `rolePrefixes`: daftar string yang akan dicocokkan dengan awal peran. Contoh Menampilkan `true` jika `role` dalam `binding` yang ditentukan dimulai dengan `roles/storage`: RoleNameStartsWith(binding.role, ['roles/storage'])
`RoleNameEndsWith( role, roleSuffixes: list )` `bool`	Menampilkan `true` jika peran `role` diakhiri dengan setidaknya salah satu string yang tercantum dalam `roleSuffixes`. Parameter `role`: peran yang akan dievaluasi. `roleSuffixes`: daftar string yang akan dicocokkan dengan akhir peran. Contoh Menampilkan `true` jika `role` dalam `binding` yang ditentukan diakhiri dengan `.admin`: RoleNameEndsWith(binding.role, ['.admin'])
`RoleNameContains( role, roleSubstrings: list )` `bool`	Menampilkan `true` jika peran `role` berisi setidaknya salah satu string yang tercantum dalam `roleSubstrings`. Parameter `role`: peran yang akan dievaluasi. `roleSubstrings`: daftar string yang akan dicocokkan dengan bagian apa pun dari peran. Contoh Menampilkan `true` jika `role` dalam `binding` yang ditentukan berisi string `admin`: RoleNameContains(binding.role, ['admin'])
`MemberSubjectMatches( member, memberNames: list )` `bool`	Menampilkan `true` jika anggota `member` sepenuhnya cocok dengan setidaknya salah satu anggota yang tercantum dalam `memberNames`. Jika ID untuk `member` adalah alamat email, fungsi ini hanya mengevaluasi alamat email tersebut—tidak mengevaluasi alias apa pun untuk alamat email tersebut. Parameter `member`: anggota yang akan dievaluasi. `memberNames`: daftar nama anggota yang akan dicocokkan. Contoh Menampilkan `true` jika anggota `member` adalah `rosario@example.com`: MemberSubjectMatches(member, ['user:rosario@example.com'])
`MemberSubjectEndsWith( member, memberSuffixes: list )` `bool`	Menampilkan `true` jika anggota `member` diakhiri dengan setidaknya salah satu string yang tercantum dalam `memberSuffixes`. Jika ID untuk `member` adalah alamat email, fungsi ini hanya mengevaluasi alamat email tersebut—tidak mengevaluasi alias apa pun untuk alamat email tersebut. Parameter `member`: anggota yang akan dievaluasi. `memberSuffixes`: daftar string yang akan dicocokkan dengan akhir nama anggota. Contoh Menampilkan `true` jika anggota `member` diakhiri dengan `@example.com`: MemberSubjectEndsWith(member, ['@example.com'])

Contoh kebijakan organisasi kustom untuk kasus penggunaan umum

Tabel berikut memberikan sintaksis beberapa kebijakan organisasi kustom yang mungkin berguna bagi Anda.

Contoh berikut menggunakan makro CEL all dan exists. Untuk mengetahui informasi selengkapnya tentang makro ini, lihat Makro.

Deskripsi	Sintaksis batasan
Memblokir kemampuan untuk memberikan peran tertentu.	name: organizations/`ORG_ID`/customConstraints/custom.denyRole resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameMatches(binding.role, ['`ROLE`']) )" actionType: DENY displayName: Do not allow the `ROLE` role to be granted
Hanya izinkan peran tertentu yang diberikan.	name: organizations/`ORG_ID`/customConstraints/custom.specificRolesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['`ROLE_1`', '`ROLE_2`']) )" actionType: ALLOW displayName: Only allow the `ROLE_1` role and `ROLE_2` role to be granted
Mencegah peran apa pun yang diawali dengan `roles/storage.` agar tidak diberikan.	name: organizations/`ORG_ID`/customConstraints/custom.dontgrantStorageRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) )" actionType: DENY displayName: Prevent roles that start with "roles/storage." from being granted
Mencegah peran apa pun dengan `admin` dalam namanya agar tidak dicabut.	name: organizations/`ORG_ID`/customConstraints/custom.dontRevokeAdminRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, RoleNameContains(binding.role, ['admin']) )" actionType: DENY displayName: Prevent roles with "admin" in their names from being revoked
Hanya mengizinkan akun utama tertentu untuk diberi peran.	name: organizations/`ORG_ID`/customConstraints/custom.allowSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberSubjectMatches(member, ['user:`USER`','serviceAccount:`SERVICE_ACCOUNT`']) ) )" actionType: ALLOW displayName: Only allow roles to be granted to `USER` and `SERVICE_ACCOUNT`
Mencegah pencabutan peran dari akun utama tertentu.	name: organizations/`ORG_ID`/customConstraints/custom.denyRemovalOfSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectMatches(member, ['user:`USER_1`','user:`USER_2`']) ) )" actionType: DENY displayName: Do not allow roles to be revoked from `USER_1` or `USER_2`
Mencegah akun utama dengan alamat email yang diakhiri dengan `@gmail.com` agar tidak diberi peran.	name: organizations/`ORG_ID`/customConstraints/custom.dontGrantToGmail resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectEndsWith(member, ['@gmail.com']) ) )" actionType: DENY displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Hanya izinkan peran tertentu diberikan, dan hanya kepada akun utama tertentu.	name: organizations/`ORG_ID`/customConstraints/custom.allowSpecificRolesAndPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['`ROLE_1`', '`ROLE_2`']) && binding.members.all(member, MemberSubjectMatches(member, ['serviceAccount:`SERVICE_ACCOUNT`', 'group:`GROUP`']) ) )" actionType: ALLOW displayName: Only allow `ROLE_1` and `ROLE_2` to be granted to `SERVICE_ACCOUNT` and `GROUP`
Mencegah peran Cloud Storage diberikan ke `allUsers` dan `allAuthenticatedUsers`.	name: organizations/`ORG_ID`/customConstraints/custom.denyStorageRolesForPrincipalAllUsers resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) && binding.members.exists(member, MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers']) ) )" actionType: DENY displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers

Langkah selanjutnya

Lihat Pengantar Layanan Kebijakan Organisasi untuk mempelajari kebijakan organisasi lebih lanjut.
Pelajari lebih lanjut cara membuat dan mengelola kebijakan organisasi.
Lihat daftar lengkap Batasan kebijakan organisasi yang telah ditentukan.