建立及管理自訂機構政策

Google Cloud 機構政策可讓您透過程式以集中方式控管機構的資源。身為機構政策管理員，您可以定義機構政策，也就是一組稱為「限制」的限制，適用於Google Cloud 資源階層中的Google Cloud 資源和這些資源的子系。您可以在機構、資料夾或專案層級強制執行機構政策。

機構政策提供各種Google Cloud 服務的內建代管限制。不過，如要進一步控管機構政策，可以建立自訂機構政策。

本頁說明如何查看、建立及管理自訂機構政策。管理員可以建立自訂機構政策，針對機構政策限制的特定欄位，提供更精細且可自訂的控制選項。

事前準備

如要進一步瞭解機構政策和限制條件的定義和運作方式，請參閱「機構政策服務簡介」。

必要的角色

如要取得管理機構政策所需的權限，請要求管理員為您授予機構的機構政策管理員 (roles/orgpolicy.policyAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這個預先定義的角色具備管理機構政策所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

所需權限

如要管理組織政策，您必須具備下列權限：

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

您可以將身分與存取權管理條件新增至機構政策管理員角色繫結，藉此委派機構政策的管理權。如要控管主體可管理機構政策的資源，您可以根據特定標記設定角色繫結條件。詳情請參閱「使用限制」一文。

自訂限制

自訂限制是在 YAML 檔案中建立，其中指定受限的資源、方法、條件和動作。這些限制會因您要強制執行機構政策的服務而異。自訂限制的條件是使用一般運算語言 (CEL) 定義。

設定自訂限制

您可以使用 Google Cloud 控制台或 Google Cloud CLI 建立自訂限制，並設定在機構政策中使用。

控制台

1. 前往 Google Cloud 控制台的「Organization policies」(組織政策) 頁面。

   前往「機構政策」

2. 選取頁面頂端的專案挑選器。

3. 在專案選擇工具中，選取要設定機構政策的資源。

4. 按一下「自訂限制」。

5. 在「顯示名稱」方塊中，輸入容易理解的限制名稱。這個欄位的長度上限為 200 個字元。 請勿在顯示名稱中使用 PII 或機密資料，因為錯誤訊息可能會顯示上述資訊。

6. 在「Constraint ID」(限制條件 ID) 方塊中，輸入新自訂限制條件的名稱。自訂限制必須以 custom. 開頭，且只能包含大寫英文字母、小寫英文字母或數字，例如 custom.disableGkeAutoUpgrade。這個欄位的長度上限為 70 個字元，不含前置字元，例如 organizations/123456789/customConstraints/custom.。請勿在限制 ID 中輸入 PII 或機密資料，因為錯誤訊息可能會顯示上述資訊。

7. 在「Description」方塊中，輸入限制的易讀說明，違反政策時會以錯誤訊息形式顯示。 這個欄位的長度上限為 2000 個字元。 請勿在說明中輸入 PII 或機密資料，因為錯誤訊息可能會顯示上述資訊。

8. 在「Resource type」方塊中，選取包含要限制物件和欄位的 Google CloudREST 資源名稱，例如 container.googleapis.com/NodePool。大多數資源類型最多可為每個資源設定 20 項自訂限制。如果您嘗試為已達自訂限制數上限的資源建立自訂限制，作業就會失敗。

9. 在「強制執行方式」下方，選取要對 REST CREATE 方法強制執行限制，還是同時對 CREATE 和 UPDATE 方法強制執行限制。 並非所有 Google Cloud 服務都支援這兩種方法。如要查看各項服務支援的方法，請在「支援的服務」中找出該服務。

10. 如要定義條件，請按一下「編輯條件」。

    1. 在「新增條件」面板中，建立參照支援服務資源的 CEL 條件，例如 resource.management.autoUpgrade == false。這個欄位的長度上限為 1000 個字元。如要瞭解如何使用 CEL，請參閱「一般運算語言」。如要進一步瞭解可在自訂限制中使用的服務資源，請參閱「自訂限制支援的服務」。

    2. 按一下 [儲存]。

11. 在「動作」下方，選取是否要在符合上述條件時允許或拒絕評估方法。

    如果條件評估結果為 true，系統就會封鎖建立或更新資源的作業。

    允許動作是指只有在條件評估為 true 時，才允許建立或更新資源的操作。除了條件中明確列出的情況外，所有其他情況都會遭到封鎖。

12. 按一下「建立限制」。

在每個欄位中輸入值後，右側會顯示這個自訂限制的對等 YAML 設定。

gcloud

如要使用 Google Cloud CLI 建立自訂限制，請為自訂限制建立 YAML 檔案：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

更改下列內容：

• ORGANIZATION_ID：您的機構 ID，例如 123456789。

• CONSTRAINT_NAME：新自訂限制的名稱。自訂限制必須以 custom. 開頭，且只能包含大寫英文字母、小寫英文字母或數字，例如 custom.disableGkeAutoUpgrade。這個欄位的長度上限為 70 個字元，不含前置字元，例如 organizations/123456789/customConstraints/custom.。

• RESOURCE_NAME：Google Cloud REST 資源的完整名稱，其中包含您要限制的物件和欄位。例如 container.googleapis.com/NodePool。大多數資源類型每項資源最多可有 20 項自訂限制。如果您嘗試為已達自訂限制數上限的資源建立自訂限制，作業就會失敗。如要進一步瞭解可在自訂限制中使用的服務資源，請參閱「自訂限制支援的服務」。

• METHOD1,METHOD2：要強制執行限制的 RESTful 方法清單。可以是 CREATE 或 CREATE 和 UPDATE。並非所有 Google Cloud 服務都支援這兩種方法。如要查看各項服務支援的方法，請在「支援的服務」中找到該服務。

• CONDITION：參照支援服務資源的 CEL 條件，例如 "resource.management.autoUpgrade == false"。這個欄位的長度上限為 1000 個字元。如要進一步瞭解如何使用 CEL，請參閱「一般運算語言」。

• ACTION：如果符合 condition，則要採取的動作。可以是 ALLOW 或 DENY。

  如果條件評估結果為 true，系統會封鎖建立或更新資源的操作。

  允許動作表示如果條件評估結果為 true，系統會允許建立或更新資源的作業。這也表示系統會封鎖條件中明確列出的案例以外的所有其他案例。

• DISPLAY_NAME：限制條件的易記名稱。這個欄位的長度上限為 200 個字元。

• DESCRIPTION：違反政策時，要以錯誤訊息形式顯示的限制說明。這個欄位的長度上限為 2000 個字元。

為新的自訂限制建立 YAML 檔案後，您必須進行設定，才能在貴機構的機構政策中使用該檔案。如要設定自訂限制，請使用 gcloud org-policies set-custom-constraint 指令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

將 CONSTRAINT_PATH 替換為自訂限制檔案的完整路徑。例如：/home/user/customconstraint.yaml。 完成後，自訂限制就會顯示在 Google Cloud 機構政策清單中，做為機構政策使用。如要確認自訂限制存在，請使用 gcloud org-policies list-custom-constraints 指令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

將 ORGANIZATION_ID 替換為機構資源的 ID。 詳情請參閱「查看機構政策」。

更新自訂限制

如要更新自訂限制，請在Google Cloud 控制台中編輯限制，或建立新的 YAML 檔案，然後再次使用 set-custom-constraint gcloud CLI 指令。自訂限制沒有版本控管功能，因此會覆寫現有的自訂限制。如果已強制執行自訂限制，更新後的自訂限制會立即生效。

控制台

1. 前往 Google Cloud 控制台的「Organization policies」(機構政策) 頁面。

   前往「機構政策」

2. 選取頁面頂端的專案挑選器。

3. 在專案選擇工具中，選取要更新機構政策的資源。

4. 在「Organization policies」(機構政策) 頁面上的清單選取要編輯的限制條件。系統隨即會顯示該限制的「政策詳細資料」頁面。

5. 按一下「編輯限制」。

6. 變更顯示名稱、說明、強制執行方法、條件和動作。限制條件建立後，就無法變更限制條件 ID 或資源類型。

7. 按一下 [儲存變更]。

gcloud

如要使用 Google Cloud CLI 編輯現有的自訂限制，請建立新的 YAML 檔案，其中包含您想進行的變更：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

更改下列內容：

• ORGANIZATION_ID：您的機構 ID，例如 123456789。

• CONSTRAINT_NAME：新自訂限制的名稱。自訂限制必須以 custom. 開頭，且只能包含大寫英文字母、小寫英文字母或數字，例如 custom.disableGkeAutoUpgrade。這個欄位的長度上限為 70 個字元，不含前置字元，例如 organizations/123456789/customConstraints/custom.。

• RESOURCE_NAME：Google Cloud REST 資源的完整名稱，其中包含您要限制的物件和欄位。例如 container.googleapis.com/NodePool。如要進一步瞭解可在自訂限制中使用的服務資源，請參閱「自訂限制支援的服務」。

• METHOD1,METHOD2：要強制執行限制的 RESTful 方法清單。可以是 CREATE 或 CREATE 和 UPDATE。並非所有 Google Cloud 服務都支援這兩種方法。如要查看各項服務支援的方法，請在「支援的服務」中找到該服務。

• CONDITION：參照支援服務資源的 CEL 條件，例如 "resource.management.autoUpgrade == false"。這個欄位的長度上限為 1000 個字元。如要進一步瞭解如何使用 CEL，請參閱「一般運算語言」。

• ACTION：如果符合 condition，則要採取的動作。可以是 ALLOW 或 DENY。

• DISPLAY_NAME：限制條件的易記名稱。這個欄位的長度上限為 200 個字元。

• DESCRIPTION：違反政策時，要以錯誤訊息形式顯示的限制說明。這個欄位的長度上限為 2000 個字元。

為新的自訂限制建立 YAML 檔案後，您必須進行設定，才能在貴機構的機構政策中使用該檔案。如要設定自訂限制，請使用 gcloud org-policies set-custom-constraint 指令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

將 CONSTRAINT_PATH 替換為自訂限制檔案的完整路徑。例如：/home/user/customconstraint.yaml。 完成後，自訂限制就會顯示在 Google Cloud 機構政策清單中，做為機構政策使用。如要確認自訂限制存在，請使用 gcloud org-policies list-custom-constraints 指令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

將 ORGANIZATION_ID 替換為機構資源的 ID。 詳情請參閱「查看機構政策」。

刪除自訂限制

您可以使用 Google Cloud 控制台或 Google Cloud CLI 刪除自訂限制。

控制台

1. 前往 Google Cloud 控制台的「Organization policies」(機構政策) 頁面。

   前往「機構政策」

2. 選取頁面頂端的專案挑選器。

3. 在專案選擇工具中，選取要刪除機構政策的資源。

4. 在「Organization policies」(機構政策) 頁面上的清單選取要刪除的限制條件。系統隨即會顯示該限制的「政策詳細資料」頁面。

5. 按一下「刪除」圖示 。

6. 按一下「刪除」，確認要刪除限制。

gcloud

如要刪除自訂限制，請使用 org-policies delete-custom-constraint gcloud CLI 指令：

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

更改下列內容：

• ORGANIZATION_ID：您的機構 ID，例如 123456789。

• CONSTRAINT_NAME：自訂限制的名稱。例如：custom.disableGkeAutoUpgrade。

輸出結果會與下列內容相似：

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

如果您刪除自訂限制，使用該限制建立的任何政策都會繼續存在，但系統會忽略這些政策。您無法建立與已刪除自訂限制條件同名的自訂限制條件。

測試及分析機構政策變更

建議您測試並模擬執行機構政策的所有變更，進一步瞭解環境狀態和變更對環境的影響。

機構政策的政策模擬器可協助您瞭解限制和機構政策對目前環境的影響。使用這項工具，您可以在實際工作環境強制執行前，查看所有資源設定，瞭解違規情形。如需詳細操作說明，請參閱「使用 Policy Simulator 測試組織政策變更」。

瞭解目前的效果後，您可以在模擬執行模式下建立機構政策，瞭解政策在未來 30 天內的影響和潛在違規情形。模擬測試模式下的機構政策是一種機構政策，違反政策的行為會記錄在稽核記錄中，但不會遭到拒絕。您可以使用 Google Cloud 控制台或 Google Cloud CLI，透過自訂限制條件以模擬執行模式建立機構政策。如需詳細操作說明，請參閱「以試執行模式建立組織政策」。

強制執行自訂機構政策

自訂限制設定完成後，運作方式與受管理限制相同。 Google Cloud 在評估是否允許使用者要求時，會先檢查自訂限制。如果任何自訂機構政策拒絕要求，系統就會拒絕該要求。然後，Google Cloud 檢查該資源是否強制執行代管條件約束。

如要強制執行限制，請建立參照該限制的機構政策，然後將該政策套用至 Google Cloud 資源。

控制台

1. 前往 Google Cloud 控制台的「Organization policies」(組織政策) 頁面。

   前往「機構政策」

2. 在專案選擇工具中，選取要設定機構政策的專案。
3. 在「Organization policies」(機構政策) 頁面上的清單中選取限制條件，即可查看該限制條件的「Policy details」(政策詳情) 頁面。
4. 如要設定這項資源的機構政策，請按一下「管理政策」。
5. 在「編輯政策」頁面中，選取「覆寫上層政策」。
6. 按一下「新增規則」。
7. 在「Enforcement」(強制執行) 區段中，選取是否要強制執行這項機構政策。
8. 選用：如要根據標記設定機構政策條件，請按一下「新增條件」。請注意，如果將條件式規則新增至組織政策，您必須新增至少一項無條件規則，否則無法儲存政策。詳情請參閱「使用標記設定組織政策」。
9. 按一下「測試變更」，模擬機構政策的影響。舊版受管理限制不支援政策模擬。詳情請參閱「 使用 Policy Simulator 測試組織政策變更」。
10. 如要完成並套用機構政策，請按一下「設定政策」。這項政策最多需要 15 分鐘才會生效。

gcloud

如要建立含有布林值規則的機構政策，請建立參照限制的政策 YAML 檔案：

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

取代下列項目：

• PROJECT_ID：要強制執行限制的專案。
• CONSTRAINT_NAME：您為自訂限制定義的名稱。例如：custom.disableGkeAutoUpgrade。

如要強制執行包含限制的機構政策，請執行下列指令：

    gcloud org-policies set-policy POLICY_PATH
    

將 POLICY_PATH 替換為機構政策 YAML 檔案的完整路徑。這項政策最多需要 15 分鐘才會生效。

限制範例

您可以定義自訂限制，類似於 Google 提供的受管理限制。典型的自訂限制 YAML 檔案如下所示：

name: organizations/1234567890123/customConstraints/custom.disableGkeAutoUpgrade
resourceTypes:
- container.googleapis.com/NodePool
methodTypes:
- CREATE
- UPDATE
condition: "resource.management.autoUpgrade == false"
actionType: ALLOW
displayName: Disable GKE auto upgrade
description: Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced.

一般運算語言

機構政策服務會使用一般運算語言 (CEL) 評估自訂限制的條件。CEL 是一種開放原始碼的非圖靈完備語言，可實作運算式評估的常見語意。

支援自訂限制的每項服務，都會提供特定資源集和這些資源的欄位。可用欄位是強型別，可由自訂限制直接參照。

您可以根據欄位類型，建構參照服務資源欄位的 CEL 條件。機構政策服務支援部分 CEL 資料類型、運算式和巨集。以下各節列出可用的資料類型，以及適用於這些類型的常見運算式和巨集。

• 整數
• 字串
• 布林
• 列出
• 地圖

如要瞭解各項服務可用的運算式和巨集，請參閱「自訂限制支援的服務」。

下列 JSON 範例顯示您可使用自訂限制條件參照的每個潛在欄位類型：

{
  integerValue: 1
  stringValue: "A text string"
  booleanValue: true
  nestedValue: {
    nestedStringValue: "Another text string"
  }
  listValue: [foo, bar]
  mapValue["costCenter"] == "123"
}

對於每個 CEL 運算式，當條件評估結果為 true 時，系統會強制執行自訂限制。您可以使用 and (&&) 和 or (||) 結合運算式，建立複雜的查詢。為自訂限制建立 YAML 或 JSON 檔案時，請將完整查詢內容放在雙引號 (") 內。

整數

整數字段 (例如上例中的 integerValue) 允許在條件中使用比較運算子。例如：

resource.integerValue == 1
resource.integerValue > 5
resource.integerValue < 10

字串

字串欄位 (例如上例中的 stringValue) 可以使用字串常值、規則運算式或 CEL 運算式進行評估。例如：

resource.stringValue == "abc"
// stringValue is exactly "abc".

resource.stringValue.matches("dev$")
// stringValue matches a regular expression, which specifies the string ends
// with the word "dev".

resource.stringValue.startsWith("startValue")
// stringValue starts with "startValue".

resource.stringValue.endsWith("endValue")
// stringValue ends with "endValue".

resource.stringValue.contains("fooBar")
// stringValue contains "fooBar".

巢狀欄位 (例如上例中的 nestedStringValue) 必須使用完整路徑參照。例如：

resource.nestedValue.nestedStringValue == "foo"
// nestedValue contains the object nestedStringValue, which has a value of "foo".

布林值

布林值欄位 (例如上例中的 booleanValue) 包含布林值，也就是 true 或 false。

清單

清單欄位 (例如上例中的 listValue) 可依清單大小、清單內容，以及清單中是否含有特定元素進行評估。

例如：

resource.listValue.size() >= 1 && resource.listValue[0] == "bar"
// listValue has size greater than or equal to one, and the first element is "bar".

resource.listValue.exists(value, value == "foo")
// listValue has at least one element that is exactly "foo".

resource.listValue.all(value, value.contains("foo"))
// listValue is a list of values that are all exactly "foo".

警告： 查詢不存在的清單值會傳回 BAD_CONDITION 錯誤。如果強制執行自訂機構政策，系統會禁止建立所有指定資源。為避免發生這項錯誤，請使用 all()、any() 或 exists() 方法。如要查詢特定索引，請先使用 size() 方法檢查索引是否存在。例如：listValue.size() >= 1 && resource.listValue[0] == "bar"。

地圖

對應欄位 (例如上例中的 mapValue) 是鍵/值組合，可根據特定元素的存在與值進行評估。

例如：

has(resource.mapValue.foo) && resource.mapValue.foo == "bar"
// mapValue contains the key "foo", and that key has the value "bar".

警告： 查詢不存在的地圖值會傳回 BAD_CONDITION 錯誤。如果強制執行自訂機構政策，系統會禁止建立所有指定資源。如要避免這項錯誤，請務必先使用 has() 方法檢查值是否存在。例如：has(map.key) && map.key == "value"。

排解 CEL 錯誤

如果建立條件時使用無效的運算式或類型不符，嘗試設定自訂限制時會傳回錯誤。舉例來說，假設有下列無效的自訂限制，會比較字串和整數：

name: organizations/1234567890123/customConstraints/custom.badConfig
resourceTypes:
- dataproc.googleapis.com/Cluster
methodTypes:
- CREATE
- UPDATE
condition: "resource.config.masterConfig.numInstances == 'mismatch'"
actionType: ALLOW
displayName: Number of instances is a string
description: Demonstrate that type mismatches cause an error.

如果您嘗試使用 Google Cloud CLI 設定這項限制，系統會產生錯誤：

ERROR: (gcloud.org-policies.set-custom-constraint) INVALID_ARGUMENT: Custom constraint condition [resource.config.masterConfig.numInstances == "mismatch"] is invalid. Error: ERROR: <input>:1:15: found no matching overload for '_==_' applied to '(int, string)' (candidates: (%A0, %A0))
 | resource.config.masterConfig.numInstances == "mismatch"
 | ..........................................^.

在 Google Cloud 控制台中，系統會以「錯誤」圖示標示無效的 CEL 語法錯誤。醒目顯示這個圖示會顯示工具提示，其中包含語法錯誤的詳細資訊。

機構政策服務會編譯及驗證您建立的條件，如果條件語法不正確，就會傳回錯誤。不過，有些條件會編譯，但 Google Cloud 嘗試強制執行限制時會導致錯誤。舉例來說，如果您設定的限制條件嘗試存取不存在的清單索引或對應鍵，限制條件就會在強制執行時失敗並傳回錯誤，並封鎖任何建立資源的嘗試。

建立取決於清單或對應元素的條件時，建議先檢查條件是否在所有情況下都有效，再開始建立條件。舉例來說，請先檢查 list.size()，再參照特定清單元素，或先使用 has()，再參照地圖元素。

支援的服務

每項服務都會定義一組自訂限制欄位，可用於對服務資源強制執行機構政策。如要查看支援自訂限制的服務清單，請參閱支援自訂限制的服務。

如要進一步瞭解如何設定機構政策掃描器，請參閱機構政策安全漏洞發現結果。

後續步驟

• 深入瞭解限制。
• 瞭解其他可用的政策自訂選項。
• 瞭解如何根據標記設定機構政策。
• 查看 GitHub 上的自訂機構政策程式庫。
• 瞭解如何使用 Config Validator 驗證及監控機構政策。