Benutzerdefinierte Organisationsrichtlinien verwenden
Mit der Google Cloud-Organisationsrichtlinie können Sie die Ressourcen Ihrer Organisation zentral steuern. Als Administrator für Organisationsrichtlinien können Sie Folgendes definieren: Organisationsrichtlinie, wobei es sich um eine Reihe von Einschränkungen handelt, die für Google Cloud-Ressourcen und untergeordnete Elemente dieser Ressourcen in der Google Cloud-Ressourcenhierarchie gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.
Die Organisationsrichtlinie bietet vordefinierte Einschränkungen für verschiedene Google Cloud-Dienste. Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien eingeschränkt werden, können Sie auch benutzerdefinierte Organisationsrichtlinien erstellen.
Vorteile
Mit benutzerdefinierten Organisationsrichtlinien können Sie bestimmte Vorgänge auf Identity Platform-Ressourcen für die Sicherheits-, Compliance- oder Governance-Anforderungen Ihrer Anwendung zulassen oder ablehnen. Sie können beispielsweise Folgendes steuern: Eigenschaften:
- Sie können die Anmeldeoption mit Passwort für Anwendungen in der Unternehmen und verlangen, dass sie immer die E-Mail-Log-in-Option verwenden.
- Sie können die Apps in Ihrer Organisation so einschränken, dass sie nur einen OIDC-Identitätsanbieter (IdP) mit einem bestimmten Aussteller verwenden.
- Sie können die OIDC- und SAML-IdP-Optionen für Anwendungen in Ihrer Organisation deaktivieren.
- Sie können die Option „Mehrinstanzenfähigkeit“ für Anwendungen in Ihrer Organisation deaktivieren.
Übernahme von Richtlinien
Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Evaluierung der Hierarchie.
Preise
Der Organisationsrichtliniendienst, einschließlich vordefinierter und benutzerdefinierter Organisationsrichtlinien, ist kostenlos angeboten werden.
Beschränkungen
Wenn Sie Identity Platform für ein Projekt aktivieren, wird von Identity Platform eine Standardkonfiguration für dieses Projekt erstellt. Der Projektinhaber kann die Standardeinstellung nicht ändern
der Konfiguration erst nach der Aktivierung des Projekts. Ändern einer von
Standardwerte vor der Aktivierung des Projekts können dazu führen, dass bei der Aktivierung
scheitern. Wenn Sie die Standardwerte der Konfiguration nach der Aktivierung ändern möchten, verwenden Sie die Methode updateConfig
.
Hinweis
Verbinden Sie Ihre App mit Identity Platform. Eine Anleitung zum Verbinden Ihrer App finden Sie in der Schnellstartanleitung.
Sie müssen Ihre Organisations-ID kennen.
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Verwalten von Organisationsrichtlinien benötigen:
-
Administrator für Organisationsrichtlinien (
roles/orgpolicy.policyAdmin
) für die Organisationsressource -
Identity Toolkit-Administrator (
roles/identitytoolkit.admin
) für die Identity Platform-Ressource
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind für die Verwaltung von Organisationsrichtlinien erforderlich:
-
orgpolicy.constraints.list
-
orgpolicy.policies.create
-
orgpolicy.policies.delete
-
orgpolicy.policies.list
-
orgpolicy.policies.update
-
orgpolicy.policy.get
-
orgpolicy.policy.set
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Benutzerdefinierte Einschränkung erstellen
Eine benutzerdefinierte Einschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Einschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Einschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Einschränkungen erstellen und verwalten.
So erstellen Sie eine YAML-Datei für eine benutzerdefinierte Einschränkung:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- identitytoolkit.googleapis.com/RESOURCE_NAME
methodTypes: METHOD
condition: CONDITION
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Ersetzen Sie dabei Folgendes:
ORGANIZATION_ID
: Ihre Organisations-ID, z. B.123456789
.CONSTRAINT_NAME
: Name, den Sie für Ihre neue benutzerdefinierte Einschränkung verwenden möchten. Eine benutzerdefinierte Einschränkung muss mitcustom.
beginnen und kann dürfen nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten. Beispiel: custom.allowEmailLinkLogin. Die maximale Länge dieses Feldes beträgt 70 Zeichen, das Präfix wird nicht gezählt (zum Beispielorganizations/123456789/customConstraints/custom
).RESOURCE_NAME
: Name (nicht der URI) der Identity Platform API REST-Ressource, die das Objekt und das Feld enthält, das Sie einschränken möchten. Beispiel:identitytoolkit.googleapis.com/Config
.
CONDITION
: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen. Beispiel:"resource.signIn.email.passwordRequired == true"
.METHOD
: Geben SieCREATE
an, wenn Sie eine Konfigurations- oder Einschränkung für die Kontoerstellung erstellen. Wenn Sie eineUPDATE
-Einschränkung für eine Konfiguration oder einen Tenant erstellen, geben Sie beides so an:methodTypes: - CREATE - UPDATE
ACTION
: Aktion, die ausgeführt werden soll, wenncondition
erfüllt ist. Dies kann entwederALLOW
oderDENY
sein.DISPLAY_NAME
: Ein nutzerfreundlicher Name für die Einschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.DESCRIPTION
: Eine nutzerfreundliche Beschreibung der Einschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird Dieses Feld hat eine maximale Länge von 2000 Zeichen.
Weitere Informationen zum Erstellen einer benutzerdefinierten Einschränkung finden Sie unter Benutzerdefinierte Einschränkungen definieren.
Benutzerdefinierte Einschränkung einrichten
Nachdem Sie die YAML-Datei für eine neue benutzerdefinierte Einschränkung erstellt haben, müssen Sie sie einrichten, um sie für Organisationsrichtlinien in Ihrer Organisation verfügbar zu machen. Verwenden Sie zum Einrichten einer benutzerdefinierten Einschränkung den Befehlgcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
durch den vollständigen Pfad zu Ihrer benutzerdefinierten Einschränkungsdatei. Beispiel: /home/user/customconstraint.yaml
Anschließend sind Ihre benutzerdefinierten Einschränkungen als Organisationsrichtlinien verfügbar
in Ihrer Liste der Google Cloud-Organisationsrichtlinien.
Prüfen Sie mit dem Befehl gcloud org-policies list-custom-constraints
, ob die benutzerdefinierte Einschränkung vorhanden ist:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
durch die ID Ihrer Organisationsressource.
Weitere Informationen finden Sie unter Organisationsrichtlinien aufrufen.
Benutzerdefinierte Organisationsrichtlinie erzwingen
Sie können eine boolesche Einschränkung erzwingen, indem Sie eine Organisationsrichtlinie erstellen, die darauf verweist, und und wenden diese Organisationsrichtlinie auf eine Google Cloud-Ressource an.Console
So erzwingen Sie eine boolesche Einschränkung:
- Wechseln Sie in der Google Cloud Console zur Seite Organisationsrichtlinien.
- Klicken Sie oben auf der Seite auf Projektauswahl.
- Wählen Sie in der Projektauswahl das Projekt aus, für das Sie die Organisationsrichtlinie festlegen möchten.
- Wählen Sie auf der Seite Organisationsrichtlinien die gewünschte Einschränkung aus, um die Seite Richtliniendetails aufzurufen.
- Zum Konfigurieren der Organisationsrichtlinie für diese Ressource klicken Sie auf Richtlinie verwalten.
- Wählen Sie auf der Seite Richtlinie bearbeiten die Option Richtlinie der übergeordneten Ressource überschreiben aus.
- Klicken Sie auf Regel hinzufügen.
- Wählen Sie im Abschnitt Erzwingung aus, ob diese Organisationsrichtlinie erzwungen werden soll. aktiviert oder deaktiviert ist.
- Optional: Wenn die Organisationsrichtlinie von einem Tag abhängig sein soll, klicken Sie auf Bedingung hinzufügen: Wenn Sie einer Organisationsrichtlinie eine bedingte Regel hinzufügen, müssen Sie mindestens eine bedingungsfreie Regel hinzufügen oder die Richtlinie kann nicht gespeichert werden. Weitere Informationen finden Sie unter Organisationsrichtlinie mit Tags festlegen.
- Wenn dies eine benutzerdefinierte Einschränkung ist, können Sie auf Änderungen testen klicken, um die Auswirkungen dieser Organisationsrichtlinie zu simulieren. Weitere Informationen finden Sie unter Änderungen an Organisationsrichtlinien mit dem Richtliniensimulator testen.
- Klicken Sie auf Richtlinie festlegen, um den Vorgang abzuschließen und die Organisationsrichtlinie anzuwenden. Richtlinie Es kann bis zu 15 Minuten dauern, bis die Änderungen wirksam werden.
gcloud
Um eine Organisationsrichtlinie zu erstellen, die eine boolesche Einschränkung erzwingt, erstellen Sie eine YAML-Richtliniendatei, die auf die Einschränkung verweist:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Ersetzen Sie Folgendes:
-
PROJECT_ID
: das Projekt, für das Sie die Einschränkung erzwingen möchten -
CONSTRAINT_NAME
: der Name, den Sie für Ihre benutzerdefinierte Einschränkung definiert haben. Beispiel:custom.allowEmailLinkLogin
.
Führen Sie den folgenden Befehl aus, um die Organisationsrichtlinie mit der Einschränkung zu erzwingen:
gcloud org-policies set-policy POLICY_PATH
Ersetzen Sie POLICY_PATH
durch den vollständigen Pfad zur YAML-Datei Ihrer Organisationsrichtlinie. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.
Benutzerdefinierte Organisationsrichtlinie testen
Zum Testen der benutzerdefinierten Organisationsrichtlinie versuchen Sie, die Mehrmandantenfähigkeit für das Projekt zu aktivieren:
curl -i -X PATCH \
-H 'Content-Type: application/json' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-d '
{
"sign_in": {"email": {"password_required": false}}
}' https://autopush-identitytoolkit.sandbox.googleapis.com/admin/v2/projects/shimingz-playground-1/config\?update_mask\=sign_in.email.password_required
Die Ausgabe sollte so aussehen:
Operation denied by custom org policies: ["customConstraints/custom.allowEmailLinkLogin": "Cannot disable email link login."]
Von Identity Platform unterstützte Ressourcen und Vorgänge
Identity Platform unterstützt die folgenden Ressourcen für benutzerdefinierte Organisationsrichtlinien:
- identitytoolkit.googleapis.com/Config
- identitytoolkit.googleapis.com/DefaultSupportedIdpConfig
- identitytoolkit.googleapis.com/InboundSamlConfig
- identitytoolkit.googleapis.com/OauthIdpConfig
- identitytoolkit.googleapis.com/Tenant
Nicht unterstützte Felder
Die folgenden Felder werden nicht unterstützt, da sie die Sicherheit Ihrer Ressource betreffen:
- identitytoolkit.googleapis.com/Config:
resource.notification.send_email.smtp.password
- identitytoolkit.googleapis.com/DefaultSupportedIdpConfig:
resource.client_secret
- identitytoolkit.googleapis.com/OauthIdpConfig:
resource.client_secret
Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle
Die folgende Tabelle enthält die Syntax einiger benutzerdefinierter Organisationsrichtlinien die Sie nützlich finden könnten:
Beschreibung | Einschränkungssyntax |
---|---|
Deaktivieren Sie die E-Mail-Anmeldung für die Anwendung nicht. |
name: organizations/ORGANIZATION_ID/customConstraints/custom.enableEmailLogin resourceTypes: - identitytoolkit.googleapis.com/Config methodTypes: - CREATE - UPDATE condition: "resource.sign_in.email.enabled == true" actionType: ALLOW displayName: Enable email login description: All applications must have email login enabled. |
Anmeldung über Google nur mit einer bestimmten Google-Client-ID zulassen |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyUnexpectedGoogleClientId resourceTypes: - identitytoolkit.googleapis.com/DefaultSupportedIdpConfig methodTypes: - CREATE - UPDATE condition: "resource.name.contains('google.com') && !resource.client_id == 'my-client-id'" actionType: DENY displayName: Only allow login with Google with specific Google client ID description: Only allow login with Google with specific Google client ID for all applications. |
Nur eine bestimmte SAML-Entität zulassen |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSpecificSamlEntity resourceTypes: - identitytoolkit.googleapis.com/InboundSamlConfig methodTypes: - CREATE - UPDATE condition: "resource.idp_config.idp_entity_id == 'my-saml-entity-id'" actionType: ALLOW displayName: Only allow a specific SAML entity description: Only allow a specific SAML entity for applications in this organization. |
OIDC-IdP mit Codeablauf zulassen |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowOauthIdpWithCodeFlow resourceTypes: - identitytoolkit.googleapis.com/OauthIdpConfig methodTypes: - CREATE - UPDATE condition: "resource.response_type.code == true" actionType: ALLOW displayName: Allow OIDC IdP with code flow description: All OIDC IdP must use code flow. |
SMS-Region in den USA zulassen |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSmsRegion resourceTypes: - identitytoolkit.googleapis.com/Tenant methodTypes: - CREATE - UPDATE condition: "resource.sms_region_config.allow_by_default.disallowed_regions.exists(disallowed_region, disallowed_region != 'US')" actionType: DENY displayName: Allow SMS region in US description: Only allow SMS to be operated in the US for all applications. |
Nächste Schritte
- Weitere Informationen zu Organisationsrichtlinien finden Sie unter Einführung in den Organisationsrichtliniendienst.
- Organisationsrichtlinien erstellen und verwalten
- Eine vollständige Liste der vordefinierten Einschränkungen für Organisationsrichtlinien finden Sie hier.