使用 Resource Manager 实施组织政策
本指南介绍了如何设置包含资源位置限制条件的组织政策,以及如何在 Google Cloud 控制台中应用该限制条件后对其进行测试。
准备工作
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Compute Engine and Resource Manager APIs.
-
Make sure that you have the following role or roles on the organization: Organization Policy > Organization Policy Administrator, Compute Engine > Compute Storage Admin
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
进入 IAM - 选择组织。
- 点击 授予访问权限。
-
在新的主账号字段中,输入您的用户标识符。 这通常是 Google 账号的电子邮件地址。
- 在选择角色列表中,选择一个角色。
- 如需授予其他角色,请点击 添加其他角色,然后添加其他各个角色。
- 点击 Save(保存)。
-
新建项目
要创建项目资源,请按照以下步骤操作:
如需创建新项目,请执行以下操作:
-
前往 Google Cloud 控制台中的管理资源页面。
其余步骤会显示在 Google Cloud 控制台中。
- 在页面顶部的选择组织下拉列表中,选择要在其中创建项目的组织资源。如果您使用的是免费试用版,请跳过此步骤,因为系统不会显示此列表。
- 点击创建项目。
- 在显示的新建项目窗口中,输入项目名称并选择适用的结算账号。项目名称只能包含字母、数字、英文单引号、连字符、空格或英文感叹号,且长度必须介于 4 到 30 个字符之间。
- 在位置框中输入父级组织或文件夹资源。该资源将是新项目的分层父级。如果可以选择无组织,那么您也可以选择该选项,将新项目作为其自身资源层次结构的顶层进行创建。
- 输入完新项目的详细信息后,点击创建。
创建项目后,系统会为您分配 Owner 角色。 此角色拥有您在以下快速入门部分所需的所有权限。 如需详细了解权限,请参阅授予、更改和撤消对资源的访问权限。
创建 Compute Engine 磁盘
要测试资源位置限制条件的功能,请设置 Compute Engine 区域永久性磁盘。创建区域永久性磁盘时,您必须指定该磁盘所在的位置。如需详细了解如何创建 Compute Engine 区域永久性磁盘,请参阅创建和管理区域级 Persistent Disk。
在 Google Cloud 控制台中,转到磁盘页面。
选择您之前创建的项目。
- 如果系统提示您将项目与结算账号关联起来,请立即执行此操作。 如需详细了解如何启用结算功能,请参阅修改项目的结算设置。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
europe-north1 (Finland)
。在地区下选择
europe-north1-a
和europe-north1-b
。点击创建。
成功创建磁盘后,相应名称旁会显示一个绿色的对勾标记。
设置组织政策
要为您创建的项目设置组织政策,请执行以下操作:
在 Google Cloud 控制台中,转到组织政策页面。
点击选择。
选择您创建的项目。
点击 Google Cloud Platform -定义资源位置,然后点击修改。
在应用对象下,选择自定义。
在政策值下,选择自定义。
在政策类型下,选择允许。
在政策值框中,输入
in:asia-locations
。点击保存。此时系统会显示一条通知,以确认更新政策。
asia-locations
是由 Google 精心挑选的一个值组,用于包含特定地区中的所有位置。在此示例中,亚洲的所有区域都被定义为在此之后创建的任何资源的允许位置。请注意,上面创建的区域永久性磁盘不受此新政策的影响,因为该政策的效力不会追溯既往。
测试组织政策
组织政策现已生效,因此您无法在组织政策未指定的区域中创建资源。要对此进行测试,请尝试在一个无效位置创建区域永久性磁盘:
在 Google Cloud 控制台中,转到磁盘页面。
选择上面创建的项目。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
europe-north1 (Finland)
。在地区下选择
europe-north1-a
和europe-north1-b
。点击创建。
此时,系统会在相应名称旁边显示一个红色的英文感叹号,并显示以下错误通知:
Location ZONE:europe-north1-a violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_ID
其中,RESOURCE_ID 是项目和磁盘的完整资源路径。系统未创建该磁盘。
在有效位置创建区域永久性磁盘
除非您指定的位置有效,否则组织政策限制条件会阻止资源的创建:
在 Google Cloud 控制台中,转到磁盘页面。
选择您之前创建的项目。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
asia-east2 (Hong Kong)
。在地区下选择
asia-east2-a
和asia-east2-b
。点击创建。
系统便会成功创建资源,因为 asia-east2
下的所有地区均在 asia-locations
值组范围内。
清理
为避免因本页中使用的资源导致您的 Google Cloud 账号产生费用,请按照以下步骤操作。
删除地区永久性磁盘
删除您为本快速入门创建的区域永久性磁盘:
在 Google Cloud 控制台中,转到磁盘页面。
在显示的列表中,选择您创建的两个磁盘。
点击创建磁盘按钮右侧的删除。
在显示的确认对话框中,点击删除。
此时系统会显示一个通知对话框,以确认磁盘已被删除。
删除项目
您可以按照以下方式删除您为本快速入门创建的项目:
在 Google Cloud 控制台中,前往管理资源页面。
在页面顶部的下拉列表中,选择您在其中为本快速入门创建了项目的组织。
在显示的项目资源列表中,选择您创建的项目,然后点击删除。
在出现的关停项目对话框中,输入项目 ID,然后点击关停。
后续步骤
- 详细了解如何创建和管理组织政策。
- 查看支持资源位置限制条件的服务。