Utilizzare criteri dell'organizzazione personalizzati
La policy dell'organizzazioneGoogle Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore della policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un set di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.
La policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare policy dell'organizzazione personalizzate.
Vantaggi
Puoi utilizzare policy dell'organizzazione personalizzate per consentire o negare operazioni specifiche sulle risorse Identity Platform per i requisiti di sicurezza, conformità o governance della tua applicazione. Ad esempio, puoi controllare le seguenti proprietà:
- Puoi disattivare l'opzione di accesso con password per le applicazioni della tua organizzazione e richiedere che utilizzino sempre l'opzione di accesso con email.
- Puoi limitare le applicazioni nella tua organizzazione in modo che utilizzino un provider di identità OIDC (IdP) con un emittente specificato.
- Puoi disattivare le opzioni IdP OIDC e SAML per le applicazioni nella tua organizzazione.
- Puoi disattivare l'opzione multitenancy per le applicazioni nella tua organizzazione.
Ereditarietà delle policy
Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.
Prezzi
Il servizio relativo alle policy dell'organizzazione, incluse le policy predefinite e personalizzate, viene fornito senza costi aggiuntivi.
Limitazioni
Quando abiliti Identity Platform per un progetto, Identity Platform crea una configurazione predefinita per quel progetto. Il proprietario del progetto non può modificare i valori predefiniti della configurazione finché il progetto non è attivato. La modifica di uno qualsiasi dei valori predefiniti prima dell'attivazione del progetto può causare un errore di attivazione. Per modificare i valori predefiniti della configurazione dopo l'attivazione, utilizza
il metodo
updateConfig
.
Prima di iniziare
Connetti la tua app a Identity Platform. Per istruzioni su come connettere l'app, consulta la guida rapida.
Assicurati di conoscere il tuo ID organizzazione.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:
-
Amministratore delle policy dell'organizzazione (
roles/orgpolicy.policyAdmin
) nella risorsa dell'organizzazione -
Amministratore Identity Toolkit (
roles/identitytoolkit.admin
) nella risorsa Identity Platform
Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.
Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le policy dell'organizzazione. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per gestire le policy dell'organizzazione sono necessarie le seguenti autorizzazioni:
-
orgpolicy.constraints.list
-
orgpolicy.policies.create
-
orgpolicy.policies.delete
-
orgpolicy.policies.list
-
orgpolicy.policies.update
-
orgpolicy.policy.get
-
orgpolicy.policy.set
Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.
Crea un vincolo personalizzato
Un vincolo personalizzato è definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio a cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando il Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.
Per creare un file YAML per un vincolo personalizzato:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- identitytoolkit.googleapis.com/RESOURCE_NAME
methodTypes: METHOD
condition: CONDITION
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.allowEmailLinkLogin. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom
.RESOURCE_NAME
: il nome (non l'URI) della risorsa REST dell'API Identity Platform contenente l'oggetto e il campo che vuoi limitare. Ad esempio,identitytoolkit.googleapis.com/Config
.
CONDITION
: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili in base a cui scrivere condizioni, consulta la sezione Risorse supportate. Ad esempio"resource.signIn.email.passwordRequired == true"
.METHOD
: Quando crei un vincolo di configurazione o di creazione del tenant, specificaCREATE
. Quando crei un vincolo di configurazione o tenantUPDATE
, specifica entrambi come segue:methodTypes: - CREATE - UPDATE
ACTION
: l'azione da eseguire secondition
è soddisfatta. Può essereALLOW
oDENY
.DISPLAY_NAME
: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.
Per saperne di più su come creare un vincolo personalizzato, consulta Definizione di vincoli personalizzati.
Configura un vincolo personalizzato
Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per le policy dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comandogcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
con il percorso completo del
file del vincolo personalizzato. Ad esempio: /home/user/customconstraint.yaml
.
Al termine, i vincoli personalizzati sono disponibili come policy dell'organizzazione
nel tuo elenco di policy dell'organizzazione Google Cloud .
Per verificare che il vincolo personalizzato esista, utilizza
il comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
con l'ID della risorsa della tua organizzazione.
Per ulteriori informazioni, consulta Visualizzazione delle policy dell'organizzazione.
Applicare una policy dell'organizzazione personalizzata
Puoi applicare un vincolo creando una policy dell'organizzazione che lo richiami e poi applicando questa policy dell'organizzazione a una risorsa Google Cloud .Console
- Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.
- Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
- Nell'elenco della pagina Policy dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli policy relativa al vincolo in questione.
- Per configurare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.
- Nella pagina Modifica policy, seleziona Esegui override della policy dell'unità organizzativa principale.
- Fai clic su Aggiungi una regola.
- Nella sezione Applicazione, seleziona se attivare o meno l'applicazione di questa policy dell'organizzazione
- (Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a una policy dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per ulteriori informazioni, consulta Impostazione di una policy dell'organizzazione con tag.
- Fai clic su Testa modifiche per simulare l'effetto della policy dell'organizzazione. La simulazione delle policy non è disponibile per i vincoli gestiti legacy. Per ulteriori informazioni, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.
- Per completare e applicare la policy dell'organizzazione, fai clic su Imposta policy. L'applicazione della policy può richiedere fino a 15 minuti.
gcloud
Per creare una policy dell'organizzazione con regole booleane, crea un file YAML della policy che faccia riferimento al vincolo:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Sostituisci quanto segue:
-
PROJECT_ID
: il progetto su cui vuoi applicare il vincolo. -
CONSTRAINT_NAME
: il nome definito per il vincolo personalizzato. Ad esempio:custom.allowEmailLinkLogin
.
Per applicare la policy dell'organizzazione contenente il vincolo, esegui il seguente comando:
gcloud org-policies set-policy POLICY_PATH
Sostituisci POLICY_PATH
con il percorso completo del file YAML della policy
dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.
Testa il criterio dell'organizzazione personalizzato
Per testare la policy dell'organizzazione personalizzata, prova ad attivare il multitenancy per il progetto:
curl -i -X PATCH \
-H 'Content-Type: application/json' \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-d '
{
"sign_in": {"email": {"password_required": false}}
}' https://autopush-identitytoolkit.sandbox.googleapis.com/admin/v2/projects/shimingz-playground-1/config\?update_mask\=sign_in.email.password_required
L'output dovrebbe essere il seguente:
Operation denied by custom org policies: ["customConstraints/custom.allowEmailLinkLogin": "Cannot disable email link login."]
Risorse e operazioni supportate da Identity Platform
Identity Platform supporta le seguenti risorse per i criteri dell'organizzazione personalizzati:
- identitytoolkit.googleapis.com/Config
- identitytoolkit.googleapis.com/DefaultSupportedIdpConfig
- identitytoolkit.googleapis.com/InboundSamlConfig
- identitytoolkit.googleapis.com/OauthIdpConfig
- identitytoolkit.googleapis.com/Tenant
Campi non supportati
I seguenti campi non sono supportati perché riguardano la sicurezza della risorsa:
- identitytoolkit.googleapis.com/Config:
resource.notification.send_email.smtp.password
- identitytoolkit.googleapis.com/DefaultSupportedIdpConfig:
resource.client_secret
- identitytoolkit.googleapis.com/OauthIdpConfig:
resource.client_secret
Esempi di norme personalizzate dell'organizzazione per casi d'uso comuni
La seguente tabella fornisce la sintassi di alcune policy dell'organizzazione personalizzate che potresti trovare utili:
Descrizione | Sintassi del vincolo |
---|---|
Non disattivare l'accesso tramite email per l'applicazione |
name: organizations/ORGANIZATION_ID/customConstraints/custom.enableEmailLogin resourceTypes: - identitytoolkit.googleapis.com/Config methodTypes: - CREATE - UPDATE condition: "resource.sign_in.email.enabled == true" actionType: ALLOW displayName: Enable email login description: All applications must have email login enabled. |
Consenti l'accesso solo con Google con un ID client Google specifico |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyUnexpectedGoogleClientId resourceTypes: - identitytoolkit.googleapis.com/DefaultSupportedIdpConfig methodTypes: - CREATE - UPDATE condition: "resource.name.contains('google.com') && !resource.client_id == 'my-client-id'" actionType: DENY displayName: Only allow login with Google with specific Google client ID description: Only allow login with Google with specific Google client ID for all applications. |
Consenti solo una specifica entità SAML |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSpecificSamlEntity resourceTypes: - identitytoolkit.googleapis.com/InboundSamlConfig methodTypes: - CREATE - UPDATE condition: "resource.idp_config.idp_entity_id == 'my-saml-entity-id'" actionType: ALLOW displayName: Only allow a specific SAML entity description: Only allow a specific SAML entity for applications in this organization. |
Consenti l'IdP OIDC con flusso di codice |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowOauthIdpWithCodeFlow resourceTypes: - identitytoolkit.googleapis.com/OauthIdpConfig methodTypes: - CREATE - UPDATE condition: "resource.response_type.code == true" actionType: ALLOW displayName: Allow OIDC IdP with code flow description: All OIDC IdP must use code flow. |
Consenti la regione SMS negli Stati Uniti |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowSmsRegion resourceTypes: - identitytoolkit.googleapis.com/Tenant methodTypes: - CREATE - UPDATE condition: "resource.sms_region_config.allow_by_default.disallowed_regions.exists(disallowed_region, disallowed_region != 'US')" actionType: DENY displayName: Allow SMS region in US description: Only allow SMS to be operated in the US for all applications. |
Passaggi successivi
- Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione.
- Scopri di più su come creare e gestire le policy dell'organizzazione.
- Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.