使用 Resource Manager 实施组织政策
本指南介绍如何设置组织政策， 包含资源位置限制条件，以及 如何在 Google Cloud 控制台。
准备工作
-
启用 Compute Engine and Resource Manager API。
-
Make sure that you have the following role or roles on the organization: Organization Policy > Organization Policy Administrator, Compute Engine > Compute Storage Admin
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
前往 IAM - 选择组织。
- 点击 授予访问权限。
-
在新的主账号字段中，输入您的用户标识符。 这通常是 Google 账号的电子邮件地址。
- 在选择角色列表中，选择一个角色。
- 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
- 点击保存。
-
新建项目
要创建项目资源，请按照以下步骤操作：
如需创建新项目，请执行以下操作：
-
转到 Google Cloud 控制台中的管理资源页面。
其余步骤会显示在 Google Cloud 控制台中。
- 在页面顶部的选择组织下拉列表中，选择要在其中创建项目的组织资源。如果您使用的是免费试用版，请跳过此步骤，因为系统不会显示此列表。
- 点击创建项目。
- 在显示的新建项目窗口中，输入项目名称并选择适用的结算账号。项目名称只能包含字母、数字、英文单引号、连字符、空格或英文感叹号，且长度必须介于 4 到 30 个字符之间。
- 在位置框中输入父级组织或文件夹资源。该资源将是新项目的分层父级。如果可以选择无组织，那么您也可以选择该选项，将新项目作为其自身资源层次结构的顶层进行创建。
- 输入完新项目的详细信息后，点击创建。
创建项目后，系统会为您分配 Owner 角色。 此角色拥有您在以下快速入门部分所需的所有权限。 如需详细了解权限，请参阅授予、更改和撤消对资源的访问权限。
创建 Compute Engine 磁盘
要测试资源位置限制条件的功能，请设置 Compute Engine 区域永久性磁盘。创建区域永久性磁盘时，您必须指定该磁盘所在的位置。有关 如需了解如何创建 Compute Engine 区域永久性磁盘，请参阅 创建和管理区域级 Persistent Disk。
在 Google Cloud 控制台中，转到磁盘页面。
选择您之前创建的项目。
- 如果系统提示您将项目与结算账号关联起来，请立即执行此操作。 如需详细了解如何启用结算功能，请参阅修改项目的结算设置。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
europe-north1 (Finland)。在地区下选择
europe-north1-a和europe-north1-b。点击创建。
成功创建磁盘后，相应名称旁会显示一个绿色的对勾标记。
设置组织政策
要为您创建的项目设置组织政策，请执行以下操作：
在 Google Cloud 控制台中，转到组织政策页面。
点击选择。
选择您创建的项目。
点击 Google Cloud Platform -定义资源位置，然后点击修改。
在应用对象下，选择自定义。
在政策值下，选择自定义。
在政策类型下，选择允许。
在政策值框中，输入
in:asia-locations。点击保存。此时系统会显示一条通知，以确认更新政策。
asia-locations 是由 Google 精心挑选的一个值组，用于包含特定地区中的所有位置。在此示例中，亚洲的所有区域都被定义为在此之后创建的任何资源的允许位置。请注意，上面创建的区域永久性磁盘不受此新政策的影响，因为该政策的效力不会追溯既往。
测试组织政策
组织政策现已生效，因此您无法在组织政策未指定的区域中创建资源。要对此进行测试，请尝试在一个无效位置创建区域永久性磁盘：
在 Google Cloud 控制台中，转到磁盘页面。
选择上面创建的项目。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
europe-north1 (Finland)。在地区下选择
europe-north1-a和europe-north1-b。点击创建。
此时，系统会在相应名称旁边显示一个红色的英文感叹号，并显示以下错误通知：
Location ZONE:europe-north1-a violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_ID
其中，RESOURCE_ID 是项目和磁盘的完整资源路径。系统未创建该磁盘。
在有效位置创建区域永久性磁盘
除非您指定的位置有效，否则组织政策限制条件会阻止资源的创建：
在 Google Cloud 控制台中，转到磁盘页面。
选择您之前创建的项目。
点击创建磁盘。
为您的磁盘指定一个名称。
选择在区域内复制此磁盘。
在区域下选择
asia-east2 (Hong Kong)。在地区下选择
asia-east2-a和asia-east2-b。点击创建。
系统便会成功创建资源，因为 asia-east2 下的所有地区均在 asia-locations 值组范围内。
清理
为避免因本页中使用的资源导致您的 Google Cloud 账号产生费用，请按照以下步骤操作。
删除地区永久性磁盘
删除您为本快速入门创建的区域永久性磁盘：
在 Google Cloud 控制台中，转到磁盘页面。
在显示的列表中，选择您创建的两个磁盘。
点击创建磁盘按钮右侧的删除。
在显示的确认对话框中，点击删除。
此时系统会显示一个通知对话框，以确认磁盘已被删除。
删除项目
您可以按照以下方式删除您为本快速入门创建的项目：
在 Google Cloud 控制台中，前往管理资源页面。
在页面顶部的下拉列表中，选择您在其中为本快速入门创建了项目的组织。
在显示的项目资源列表中，选择您创建的项目，然后点击删除。
在出现的关停项目对话框中，输入项目 ID，然后点击关停。
后续步骤
- 详细了解如何实施组织政策限制条件。
- 查看支持资源位置限制条件的服务。