创建和管理自定义组织政策

Google Cloud 组织政策可让您以编程方式集中控制组织的资源。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的 Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。

组织政策为各种 Google Cloud 服务提供预定义限制条件。不过，如果您希望通过组织政策实现更严格的控制，可以创建自定义组织政策。

本页介绍了如何查看、创建和管理自定义组织政策。自定义组织政策由管理员创建，旨在让您能够更精细地控制受组织政策限制的特定字段，并对其进行自定义。

准备工作

如需详细了解组织政策和限制条件及其工作原理，请参阅组织政策服务简介。

所需的角色

如需获得管理组织政策所需的权限，请让您的管理员为您授予组织的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

此预定义角色可提供管理组织政策所需的权限。如需查看所需的确切权限，请展开所需权限部分：

所需权限

管理组织政策需要以下权限：

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set

您也可以使用自定义角色或其他预定义角色来获取这些权限。

自定义约束条件

自定义限制条件是在 YAML 文件中创建的，该文件指定了受限制条件约束的资源、方法、条件和操作。这些参数特定于您要强制执行组织政策的服务。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。

设置自定义限制条件

您可以使用 Google Cloud 控制台或 Google Cloud CLI 创建自定义限制条件并将其设置为在组织政策中使用。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到“组织政策”

2. 选择页面顶部的项目选择器。

3. 在项目选择器中，选择要为其设置组织政策的资源。

4. 点击 自定义限制条件。

5. 在显示名称框中，为限制条件输入一个易记的名称。此字段的最大长度为 200 个字符。 请勿在显示名称中使用个人身份信息或敏感数据，因为这些可能会在错误消息中公开。

6. 在限制条件 ID 框中，为新的自定义限制条件输入所需的名称。自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.disableGkeAutoUpgrade。该字段的最大长度为 70 个字符，不计算前缀，例如 organizations/123456789/customConstraints/custom.。请勿在限制条件 ID 中包含个人身份信息或敏感数据，因为这些信息可能会出现在错误消息中。

7. 在说明框中，输入直观易懂的限制条件说明，在违反政策时此说明内容会以错误消息的形式显示。此字段的最大长度为 2,000 个字符。请勿在说明中包含个人身份信息或敏感数据，因为这些可能会在错误消息中公开。

8. 在资源类型框中，选择包含要限制的对象和字段的 Google Cloud REST 资源的名称，例如 container.googleapis.com/NodePool。每种资源类型最多可有 20 个自定义限制条件。如果您尝试为已具有 20 个自定义限制条件的资源类型创建自定义限制条件，操作将失败。

9. 在强制执行方法下，选择是对 REST CREATE 方法强制执行限制条件，还是同时对 CREATE 和 UPDATE 方法强制执行限制条件。并非所有 Google Cloud 服务都支持这两种方法。如需查看每种服务支持的方法，请在支持的服务中找到相应服务。

10. 如需定义条件，请点击 修改条件。

    1. 在添加条件面板中，创建一个引用受支持的服务资源的 CEL 条件，例如 resource.management.autoUpgrade == false。此字段的最大长度为 1,000 个字符。如需详细了解 CEL 用法，请参阅通用表达式语言。如需详细了解可在自定义限制条件中使用的服务资源，请参阅自定义限制条件支持的服务。

    2. 点击保存。

11. 在操作下，选择在满足上述条件时是允许还是拒绝评估的方法。

    “拒绝”操作表示，如果条件计算结果为 true，则系统会阻止创建或更新资源的操作。

    “允许”操作表示，只有当条件计算结果为 true 时，系统才允许创建或更新资源的操作。除了条件中明确列出的情况之外，其他所有情况都会被阻止。

12. 点击创建限制条件。

在每个字段中输入值后，右侧将显示此自定义限制条件的等效 YAML 配置。

gcloud

如需使用 Google Cloud CLI 创建自定义限制条件，请为自定义限制条件创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

请替换以下内容：

• ORGANIZATION_ID：您的组织 ID，例如 123456789。

• CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.disableGkeAutoUpgrade。该字段的最大长度为 70 个字符，不计算前缀，例如 organizations/123456789/customConstraints/custom.。

• RESOURCE_NAME：包含要限制的对象和字段的 Google Cloud REST 资源的完全限定名称。例如 container.googleapis.com/NodePool。每种资源类型最多可有 20 个自定义限制条件。如果您尝试为已具有 20 个自定义限制条件的资源类型创建自定义限制条件，操作将失败。如需详细了解可在自定义限制条件中使用的服务资源，请参阅自定义限制条件支持的服务。

• METHOD1,METHOD2：要对其强制执行限制条件的 RESTful 方法的列表。可以是 CREATE 或 CREATE 和 UPDATE。 并非所有 Google Cloud 服务都支持这两种方法。如需查看每种服务支持的方法，请在支持的服务中找到相应服务。

• CONDITION：引用受支持的服务资源的 CEL 条件，例如 "resource.management.autoUpgrade == false"。此字段的最大长度为 1,000 个字符。如需详细了解 CEL 用法，请参阅通用表达式语言。

• ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。

  “拒绝”操作表示，如果条件计算结果为 true，则系统会阻止操作创建或更新资源。

  “允许”操作表示，如果条件计算结果为 true，则允许操作创建或更新资源。这也意味着，除了条件中明确列出的情况之外，其他所有情况都会被阻止。

• DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。

• DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。

为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用 gcloud org-policies set-custom-constraint 命令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为您的组织资源的 ID。 如需了解详情，请参阅查看组织政策。

更新自定义限制条件

如需更新自定义限制条件，您可以在 Google Cloud 控制台中修改限制条件，也可以创建新的 YAML 文件并再次使用 set-custom-constraint gcloud CLI 命令。自定义限制条件没有版本控制，因此这会覆盖现有的自定义限制条件。如果自定义限制条件已强制执行，则更新后的自定义限制条件会立即生效。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到“组织政策”

2. 选择页面顶部的项目选择器。

3. 在项目选择器中，选择要为其更新组织政策的资源。

4. 从组织政策页面的列表中选择要修改的限制条件。系统应显示该限制条件的政策详情页面。

5. 点击 修改限制条件。

6. 更改显示名称、说明、强制执行方法、条件和操作。创建限制条件后，您便无法更改限制条件 ID 或资源类型。

7. 点击保存更改。

gcloud

如需使用 Google Cloud CLI 修改现有自定义限制条件，请创建包含您要进行的更改的新 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

• ORGANIZATION_ID：您的组织 ID，例如 123456789。

• CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.disableGkeAutoUpgrade。该字段的最大长度为 70 个字符，不计算前缀，例如 organizations/123456789/customConstraints/custom.。

• RESOURCE_NAME：包含要限制的对象和字段的 Google Cloud REST 资源的完全限定名称。例如 container.googleapis.com/NodePool。如需详细了解可在自定义限制条件中使用的服务资源，请参阅自定义限制条件支持的服务。

• METHOD1,METHOD2：要对其强制执行限制条件的 RESTful 方法的列表。可以是 CREATE 或 CREATE 和 UPDATE。 并非所有 Google Cloud 服务都支持这两种方法。如需查看每种服务支持的方法，请在支持的服务中找到相应服务。

• CONDITION：引用受支持的服务资源的 CEL 条件，例如 "resource.management.autoUpgrade == false"。此字段的最大长度为 1,000 个字符。如需详细了解 CEL 用法，请参阅通用表达式语言。

• ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。

• DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。

• DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。

为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用 gcloud org-policies set-custom-constraint 命令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为您的组织资源的 ID。 如需了解详情，请参阅查看组织政策。

删除自定义限制条件

您可以使用 Google Cloud 控制台或 Google Cloud CLI 删除自定义限制条件。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到“组织政策”

2. 选择页面顶部的项目选择器。

3. 在项目选择器中，选择要为其删除组织政策的资源。

4. 从组织政策页面的列表中选择要删除的限制条件。系统应显示该限制条件的政策详情页面。

5. 点击 删除。

6. 如需确认要删除限制条件，请点击删除。

gcloud

如需删除自定义限制条件，请使用 org-policies delete-custom-constraint gcloud CLI 命令：

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

替换以下内容：

• ORGANIZATION_ID：您的组织 ID，例如 123456789。

• CONSTRAINT_NAME：自定义限制条件的名称。例如 custom.disableGkeAutoUpgrade。

输出类似于以下内容：

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

如果您删除某个自定义限制条件，则使用该限制条件创建的所有政策都将继续存在，但会被忽略。您无法创建与已删除的自定义限制条件同名的其他自定义限制条件。

测试和分析组织政策变更

我们建议您测试并预演对组织政策的所有更改，以便更好地了解环境状态以及更改对其的影响。

适用于组织政策的 Policy Simulator 可帮助您了解约束条件和组织政策对当前环境的影响。在强制执行生产环境中的违规处置之前，您可以使用此工具查看所有资源配置，了解违规情况。如需查看详细说明，请参阅使用 Policy Simulator 测试组织政策更改。

了解当前影响后，您可以在试运行模式下创建组织政策，以了解政策在接下来 30 天内的影响和可能的违规情况。试运行模式下的组织政策是一种组织政策，其中会将违反政策的行为记录到审核日志中，但不会拒绝违规操作。您可以使用 Google Cloud 控制台或 Google Cloud CLI，通过自定义限制条件在模拟运行模式下创建组织政策。如需了解详细说明，请参阅在试运行模式下创建组织政策。

强制执行自定义组织政策

设置自定义限制条件后，其运行方式与预定义的布尔值限制条件相同。Google Cloud 在评估是否允许用户请求时会先检查自定义限制条件。如果有任何自定义组织政策拒绝请求，则请求会被拒绝。Google Cloud 随后会检查对该资源强制执行的预定义组织政策。

如需强制执行布尔值限制条件，您可以创建引用该限制条件的组织政策，并将该组织政策应用于 Google Cloud 资源。

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 在项目选择器中，选择要设置组织政策的项目。
3. 从组织政策页面上的列表中选择您的限制条件，以查看该限制条件的政策详情页面。
4. 如需为该资源配置组织政策，请点击管理政策。
5. 在修改政策页面，选择覆盖父级政策。
6. 点击添加规则。
7. 在强制执行部分中，选择开启还是关闭此组织政策的强制执行。
8. （可选）如需使组织政策成为基于某个标记的条件性政策，请点击添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。如需了解详情，请参阅设置带有标记的组织政策。
9. 如果是自定义限制条件，您可以点击测试更改来模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
10. 若要完成并应用组织政策，请点击设置政策。该政策最长需要 15 分钟才能生效。

gcloud

如需创建强制执行布尔值限制条件的组织政策，请创建引用该限制条件的 YAML 政策文件：

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

请替换以下内容：

• PROJECT_ID：要对其实施限制条件的项目。
• CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.disableGkeAutoUpgrade。

如需强制执行包含限制条件的组织政策，请运行以下命令：

    gcloud org-policies set-policy POLICY_PATH
    

将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。

限制条件示例

您可以定义类似于 Google 提供的预定义约束条件的自定义约束条件。典型的自定义限制条件 YAML 文件如下所示：

name: organizations/1234567890123/customConstraints/custom.disableGkeAutoUpgrade
resourceTypes:
- container.googleapis.com/NodePool
methodTypes:
- CREATE
- UPDATE
condition: "resource.management.autoUpgrade == false"
actionType: ALLOW
displayName: Disable GKE auto upgrade
description: Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced.

通用表达式语言

组织政策服务使用通用表达式语言 (CEL) 对自定义限制条件中的条件进行评估。CEL 是一种开源的非图灵完备语言，用于实现表达式求值的常见语义。

每项支持自定义约束条件的服务都会提供一组特定的资源及其字段。可用字段是强类型的，可被自定义限制条件直接引用。

您可以根据字段的类型构建引用服务资源字段的 CEL 条件。组织政策服务支持部分 CEL 数据类型、表达式和宏。以下部分列出了可用的数据类型以及与这些数据类型搭配使用的常用表达式和宏。

• 整数
• 字符串
• 布尔值
• 列表
• 地图

如需详细了解每项服务支持哪些表达式和宏，请参阅自定义限制条件支持的服务。

以下 JSON 示例展示了您可以使用自定义约束条件引用的每个可能的字段类型：

{
  integerValue: 1
  stringValue: "A text string"
  booleanValue: true
  nestedValue: {
    nestedStringValue: "Another text string"
  }
  listValue: [foo, bar]
  mapValue["costCenter"] == "123"
}

对于每个 CEL 表达式，当条件的计算结果为 true 时，系统会强制执行自定义限制条件。您可以将表达式与 AND (&&) 和 OR (||) 组合使用，以创建复杂查询。为自定义约束条件创建 YAML 或 JSON 文件时，请将完整查询括在双引号 (") 中。

整数

整数字段（例如上例中的 integerValue）允许在条件中使用比较运算符。例如：

resource.integerValue == 1
resource.integerValue > 5
resource.integerValue < 10

字符串

字符串字段（例如上例中的 stringValue）可以使用字符串字面量、正则表达式或 CEL 表达式进行评估。例如：

resource.stringValue == "abc"
// stringValue is exactly "abc".

resource.stringValue.matches("dev$")
// stringValue matches a regular expression, which specifies the string ends
// with the word "dev".

resource.stringValue.startsWith("startValue")
// stringValue starts with "startValue".

resource.stringValue.endsWith("endValue")
// stringValue ends with "endValue".

resource.stringValue.contains("fooBar")
// stringValue contains "fooBar".

必须使用完整路径引用嵌套字段（例如上例中的 nestedStringValue）。例如：

resource.nestedValue.nestedStringValue == "foo"
// nestedValue contains the object nestedStringValue, which has a value of "foo".

布尔值

布尔字段（例如上例中的 booleanValue）包含一个布尔值，即 true 或 false。

列出

列表字段（例如上例中的 listValue）可以通过列表的大小、列表的内容以及特定元素是否存在于列表中的任意位置进行评估。

例如：

resource.listValue.size() >= 1 && resource.listValue[0] == "bar"
// listValue has size greater than or equal to one, and the first element is "bar".

resource.listValue.exists(value, value == "foo")
// listValue has at least one element that is exactly "foo".

resource.listValue.all(value, value.contains("foo"))
// listValue is a list of values that are all exactly "foo".

警告： 如果查询不存在的列表值，则会返回 BAD_CONDITION 错误。此错误会阻止在强制执行自定义组织政策的指定资源中进行任何创建操作。为避免此错误，请使用 all()、any() 或 exists() 方法。如果您要查询特定索引，请先使用 size() 方法检查该索引是否存在。例如 listValue.size() >= 1 && resource.listValue[0] == "bar"。

地图

映射字段（例如上面示例中的 mapValue）是键值对，可根据特定元素的存在性和值进行评估。

例如：

has(resource.mapValue.foo) && resource.mapValue.foo == "bar"
// mapValue contains the key "foo", and that key has the value "bar".

警告： 如果查询不存在的映射值，则会返回 BAD_CONDITION 错误。此错误会阻止在强制执行自定义组织政策的指定资源中创建任何资源。为避免此错误，请始终先使用 has() 方法检查该值是否存在。例如 has(map.key) && map.key == "value"。

排查 CEL 错误

如果使用无效表达式或类型不匹配创建的条件，则在您尝试设置自定义约束条件时会返回错误。例如，假设以下无效的自定义约束条件，它将字符串与整数进行比较：

name: organizations/1234567890123/customConstraints/custom.badConfig
resourceTypes:
- dataproc.googleapis.com/Cluster
methodTypes:
- CREATE
- UPDATE
condition: "resource.config.masterConfig.numInstances == 'mismatch'"
actionType: ALLOW
displayName: Number of instances is a string
description: Demonstrate that type mismatches cause an error.

如果您尝试使用 Google Cloud CLI 设置该约束条件，则会出现错误：

ERROR: (gcloud.org-policies.set-custom-constraint) INVALID_ARGUMENT: Custom constraint condition [resource.config.masterConfig.numInstances == "mismatch"] is invalid. Error: ERROR: <input>:1:15: found no matching overload for '_==_' applied to '(int, string)' (candidates: (%A0, %A0))
 | resource.config.masterConfig.numInstances == "mismatch"
 | ..........................................^.

在 Google Cloud 控制台中，无效的 CEL 语法错误会带有 Error 图标。突出显示此图标会显示一个提示，其中包含有关语法错误的更多信息。

组织政策服务会编译和验证您创建的条件，如果条件的语法不正确，则会返回错误。不过，有些条件虽然可以编译，但在 Google Cloud 尝试强制执行这些约束条件时会导致错误。例如，如果您设置的限制条件包含尝试访问不存在的列表索引或映射键的条件，则该限制条件会在强制执行时失败并返回错误，并阻止任何尝试创建资源的操作。

创建依赖于列表或映射元素的条件时，我们建议在条件开头添加一个检查，以确保该条件在所有情况下都有效。例如，在引用特定列表元素之前检查 list.size()，或在引用映射元素之前使用 has()。

支持的服务

每项服务都会定义一组自定义限制条件字段，可用于对其服务资源强制执行组织政策。如需查看支持自定义限制条件的服务列表，请参阅自定义限制条件支持的服务。

如需详细了解如何设置组织政策扫描器，请参阅组织政策漏洞和发现结果。

后续步骤

• 深入了解限制条件。
• 了解可用于自定义政策的其他选项。
• 了解如何根据标记设置组织政策。
• 了解如何使用 Config Validator 验证和监控组织政策。