可用限制条件
您可以指定使用以下限制条件的政策。
托管式限制
| 服务 | 限制条件 | 说明 |
|---|---|---|
| Identity and Access Management | 禁止创建服务账号密钥 | 强制执行此限制条件时，系统会阻止创建服务账号密钥。constraints/iam.managed.disableServiceAccountKeyCreation |
| Identity and Access Management | 停用服务账号密钥上传功能 | 设置为“True”时，此布尔值限制条件会停用允许向服务账号上传公钥的功能。 默认情况下，用户可根据其 Cloud IAM 角色和权限向服务账号上传公钥。 constraints/iam.managed.disableServiceAccountKeyUpload |
多个 Google Cloud 服务支持的限制条件
| 限制条件 | 说明 | 支持的前缀 |
|---|---|---|
| 允许的工作器池 (Cloud Build) | 此列表限制条件定义了一组允许使用 Cloud Build 执行构建的 Cloud Build 工作器池。当强制执行此限制条件时，构建必须在与其中一个允许的值匹配的工作器池中进行。 默认情况下，Cloud Build 可以使用任何工作器池。 工作器池的许可名单必须采用以下格式：
constraints/cloudbuild.allowedWorkerPools |
"is:"、"under:" |
| Google Cloud Platform - 资源位置限制 | 此列表限制条件定义了可以创建基于位置的 Google Cloud 资源的一组位置。重要提示：本页面上的信息并未描述 Google Cloud Platform 针对客户提供的适用于客户数据的数据位置承诺（定义见 Google 同意提供 Google Cloud Platform 服务时须遵守的协议，相关说明请参阅 Google Cloud Platform 服务摘要 [https://cloud.google.com/terms/services]）。如要了解客户可以针对哪些 Google Cloud Platform 服务选择客户数据位置，请参阅“具有数据驻留权的 Google Cloud Platform 服务”(https://cloud.google.com/terms/data-residency)。 默认情况下，可以在任何位置创建资源。如需查看支持的服务的完整列表，请访问 https://cloud.google.com/resource-manager/docs/organization-policy/defining-locations-supported-services。 针对此限制条件的政策可以将多地区（例如 asia 和 europe）和单地区（例如 us-east1 或 europe-west1）指定为允许或拒绝的位置。允许或拒绝多地区并不表示也应该允许或拒绝其中包含的所有更具体的位置。例如，如果政策拒绝 us 多区域（表示多区域资源，例如某些存储服务），您仍然可以在区域位置 us-east1 中创建资源。另一方面，in:us-locations 组包含 us 区域内的所有位置，并且可用于阻止每个区域。建议使用值组来定义政策。 您可以指定值组（即由 Google 精心挑选的一组位置），以便更方便地定义您的资源位置。如需在组织政策中使用值组，请为您的条目前添加 in: 字符串作为前缀，后跟值组。例如，如需创建仅位于美国的资源，请在允许值列表中设置 in:us-locations。如果在位置政策中使用了 suggested_value 字段，则该字段应为区域。如果指定的值为地区，则区域资源的界面可以预填充该地区中的任何区域。constraints/gcp.resourceLocations |
"is:" 和 "in:" |
| 限制哪些项目可以为 CMEK 提供 KMS CryptoKey | 此列表限制条件定义了在创建资源时可以使用哪些项目来提供客户管理的加密密钥 (CMEK)。如果将此限制条件设为 Allow（即仅允许来自这些项目的 CMEK 密钥），可确保来自其他项目的 CMEK 密钥无法用来保护新创建的资源。此约束条件的值必须采用 under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID 格式。可实施此限制条件的受支持服务包括：
Deny 或 Deny All。此限制条件的实施不具有可追溯性。对于使用来自非允许项目的 KMS CryptoKey 的现有 CMEK Google Cloud 资源，必须手动重新配置或重新创建，以确保实施此限制条件。constraints/gcp.restrictCmekCryptoKeyProjects |
"is:" 和 "under:" |
| 限制哪些服务可以在没有 CMEK 的情况下创建资源 | 此列表限制条件定义了哪些服务需要客户管理的加密密钥 (CMEK)。如果将此限制条件设为 Deny（即拒绝在没有 CMEK 的情况下创建资源），那么对于指定服务，必须使用 CMEK 密钥保护新创建的资源。可实施此限制条件的受支持服务包括：
Deny All。不允许将此限制条件设为 Allow。此限制条件的实施不具有可追溯性。为确保实施此限制条件，必须手动重新配置或重新创建现有的非 CMEK Google Cloud 资源。constraints/gcp.restrictNonCmekServices |
"is:" |
| 限制资源服务使用 | 此限制条件定义了一组可在组织、文件夹或项目中使用的 Google Cloud 资源服务，例如 compute.googleapis.com 和 storage.googleapis.com。 默认情况下，允许使用所有 Google Cloud 资源服务。 如需了解详情，请参阅 https://cloud.google.com/resource-manager/help/organization-policy/restricting-resources。 constraints/gcp.restrictServiceUsage |
"is:" |
| 限制 TLS 版本 | 此限制条件定义了一组 TLS 版本，它们无法用于强制执行了此限制条件的组织、文件夹或项目，或资源层次结构中相应资源的任何子资源。 默认情况下，允许使用所有 TLS 版本。TLS 版本只能在拒绝列表中指定，并且必须以 TLS_VERSION_1 或 TLS_VERSION_1_1 的格式标识。此限制条件仅应用于使用 TLS 的请求。它不会被用来限制未经加密的请求。 如需了解详情，请参阅 https://cloud.google.com/assured-workloads/docs/restrict-tls-versions。 constraints/gcp.restrictTLSVersion |
"is:" |
| 禁止在区域级资源上启用 Identity-Aware Proxy (IAP) | 强制执行此布尔值限制条件时，系统会禁止在区域级资源上启用 Identity-Aware Proxy。在全球性资源上启用 IAP 不受此限制条件的限制。 默认情况下，允许在区域级资源上启用 IAP。 constraints/iap.requireRegionalIapWebDisabled |
"is:" |
| 限制允许的 Google Cloud API 和服务 | 此列表限制条件限制了可以针对此资源启用的一组服务及其 API。默认情况下，允许启用所有服务。 遭拒的服务的列表必须来自以下列表。目前不支持通过此限制条件明确启用 API。如果指定的 API 不在此列表中，则会导致错误。 实施此限制条件不会影响先前的操作。也就是说，在实施此限制条件后，资源中之前启用的服务仍会保持启用状态。 constraints/serviceuser.services |
"is:" |
特定服务的限制条件
| 服务 | 限制条件 | 说明 | 支持的前缀 |
|---|---|---|---|
| Vertex AI Workbench | 定义 Vertex AI Workbench 笔记本和实例的访问模式 | 此列表限制条件定义了强制执行此限制条件后，Vertex AI Workbench 笔记本和实例允许的访问模式。在 service-account 模式下，允许或拒绝列表可指定多个用户；在 single-user 模式下，允许或拒绝列表可指定单用户访问。必须明确列出要允许或拒绝的访问模式。constraints/ainotebooks.accessMode |
"is:" |
| Vertex AI Workbench | 禁止在新的 Vertex AI Workbench 实例上下载文件 | 强制执行此布尔值限制条件时，系统会阻止创建已启用文件下载选项的 Vertex AI Workbench 实例。默认情况下，文件下载选项可在任何 Vertex AI Workbench 实例上启用。constraints/ainotebooks.disableFileDownloads |
"is:" |
| Vertex AI Workbench | 停用对新的 Vertex AI Workbench 用户管理的笔记本和实例的根访问权限 | 强制执行此布尔值限制条件时，系统会阻止新创建的 Vertex AI Workbench 用户管理的笔记本和实例启用根访问权限。默认情况下，Vertex AI Workbench 用户管理的笔记本和实例可以启用根访问权限。constraints/ainotebooks.disableRootAccess |
"is:" |
| Vertex AI Workbench | 停用新的 Vertex AI Workbench 实例上的终端 | 强制执行此布尔值限制条件时，系统会阻止在终端启用的情况下创建 Vertex AI Workbench 实例。默认情况下，终端可在 Vertex AI Workbench 实例上启用。constraints/ainotebooks.disableTerminal |
"is:" |
| Vertex AI Workbench | 限制新的 Vertex AI Workbench 用户管理笔记本上的环境选项 | 此列表限制条件定义用户在新建 Vertex AI Workbench 用户管理的笔记本时，可选择的虚拟机和容器映像选项。必须明确列出要允许或拒绝的选项。 虚拟机实例应采用以下格式： ainotebooks-vm/PROJECT_ID/IMAGE_TYPE/CONSTRAINED_VALUE。将 IMAGE_TYPE 替换为 image-family 或 image-name。示例：ainotebooks-vm/deeplearning-platform-release/image-family/pytorch-1-4-cpu、ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615。容器映像的预期格式为 ainotebooks-container/CONTAINER_REPOSITORY:TAG。示例：ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:latest、ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:m48。constraints/ainotebooks.environmentOptions |
"is:" |
| Vertex AI Workbench | 要求对新的 Vertex AI Workbench 用户管理的笔记本和实例进行自动预定升级 | 强制执行此布尔值限制条件时，系统会要求新创建的 Vertex AI Workbench 用户管理型笔记本和实例设置自动升级计划。自动升级计划可使用“notebook-upgrade-schedule”元数据标志来定义，以指定自动升级的 Cron 时间表。例如：`--metadata=notebook-upgrade-schedule="00 19 * * MON"`。constraints/ainotebooks.requireAutoUpgradeSchedule |
"is:" |
| Vertex AI Workbench | 限制对新的 Vertex AI Workbench 笔记本和实例的公共 IP 访问权限 | 强制执行此布尔值限制条件后，系统会限制公共 IP 对新创建的 Vertex AI Workbench 笔记本和实例的访问权限。默认情况下，公共 IP 可以访问 Vertex AI Workbench 笔记本和实例。constraints/ainotebooks.restrictPublicIp |
"is:" |
| Vertex AI Workbench | 限制新的 Vertex AI Workbench 实例上的 VPC 网络 | 此列表限制条件定义了在强制执行此限制条件后，用户在创建新的 Vertex AI Workbench 实例时可以选择的 VPC 网络。默认情况下，可以使用任何 VPC 网络创建 Vertex AI Workbench 实例。网络的允许或拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。constraints/ainotebooks.restrictVpcNetworks |
"is:" 和 "under:" |
| Vertex AI | 定义对 Vertex AI 上 Google 专有生成式 AI 模型的访问权限 | 此列表限制条件定义了允许在 Vertex AI API 中使用的一系列生成式 AI 模型和功能。许可名单的值应采用 model_id:feature_family 格式。例如 publishers/google/models/text-bison:predict。此列表限制条件仅限制对 Google 专有生成式 AI 模型的访问权限，不影响第三方专有模型或开源模型。可以使用“vertexai.allowedModels”限制条件来定义对更广泛的模型（包括 Google 专有模型、第三方专有模型和开源模型）的访问权限。默认情况下，所有模型都可以在 Vertex AI API 中使用。constraints/vertexai.allowedGenAIModels |
"is:" |
| Vertex AI | 定义对 Vertex AI 上模型的访问权限 | 此列表限制条件定义了允许在 Vertex AI API 中使用的一系列模型和功能。许可名单的值应采用“model_id:feature_family”格式，例如“publishers/google/models/gemini-1.0-pro:predict”。默认情况下，所有模型都可以在 Vertex AI API 中使用。constraints/vertexai.allowedModels |
"is:" |
| App Engine | 停用源代码下载功能 | 停用之前上传到 App Engine 的源代码的下载。 constraints/appengine.disableCodeDownload |
"is:" |
| App Engine | 运行时部署豁免 (App Engine) | 此列表限制条件定义了一组允许在支持终止后部署的 App Engine 标准环境旧版运行时（Python 2.7、PHP 5.5 和 Java 8）。我们将于 2024 年 1 月 30 日起停止为 App Engine 标准环境旧版运行时提供支持。一般来说，在此日期之后尝试使用旧版运行时部署应用的操作将被阻止。请参阅 App Engine 标准环境运行时支持时间表。将此限制条件设置为“允许”，可解除对您指定的旧版运行时的 App Engine 标准环境部署的阻止，直到运行时弃用日期为止。将此限制条件设置为“全部允许”，可解除对所有旧版运行时的 App Engine 标准环境部署的阻止，直到运行时弃用日期为止。已达到支持终止期限的运行时不会收到常规安全和维护补丁。我们强烈建议您将应用升级为使用正式版运行时。constraints/appengine.runtimeDeploymentExemption |
"is:" |
| BigQuery | 停用适用于 Cloud AWS 的 BigQuery Omni | 如果此布尔值限制条件设为 True，系统将禁止用户使用 BigQuery Omni 来处理对其强制执行此限制条件的 Amazon Web Services 上的数据。constraints/bigquery.disableBQOmniAWS |
"is:" |
| BigQuery | 停用适用于 Cloud Azure 的 BigQuery Omni | 如果此布尔值限制条件设为 True，系统将禁止用户使用 BigQuery Omni 来处理对其强制执行此限制条件的 Microsoft Azure 上的数据。constraints/bigquery.disableBQOmniAzure |
"is:" |
| Cloud Build | 允许的集成 (Cloud Build) | 此列表限制条件定义了允许的 Cloud Build 集成，这些集成通过接收 Google Cloud 外部服务的 Webhook 来执行构建。如果强制执行此限制条件，系统只会在服务的主机匹配了某个允许的值时处理 Webhook。 默认情况下，只要项目具有至少一个 LIVE 触发器，Cloud Build 就会处理所有 Webhook。 constraints/cloudbuild.allowedIntegrations |
"is:" |
| Cloud Build | 禁止创建默认服务账号 (Cloud Build) | 强制执行此布尔值限制条件时，系统会阻止创建旧版 Cloud Build 服务账号。constraints/cloudbuild.disableCreateDefaultServiceAccount |
"is:" |
| Cloud Build | 使用默认服务账号 (Cloud Build) | 强制执行此布尔值限制条件时，系统在默认情况下会允许使用旧版 Cloud Build 服务账号。constraints/cloudbuild.useBuildServiceAccount |
"is:" |
| Cloud Build | 默认使用 Compute Engine 服务账号 (Cloud Build) | 强制执行此布尔值限制条件时，系统在默认情况下会允许使用 Compute Engine 服务账号。constraints/cloudbuild.useComputeServiceAccount |
"is:" |
| Cloud Deploy | 停用 Cloud Deploy 服务标签 | 如果强制执行此布尔值限制条件，Cloud Deploy 就无法将 Cloud Deploy 标识符标签添加到所部署的对象。 默认情况下，在版本创建期间，系统会将标识 Cloud Deploy 资源的标签添加到所部署的对象。 constraints/clouddeploy.disableServiceLabelGeneration |
"is:" |
| Cloud Functions | 允许使用的入站流量设置 (Cloud Functions) | 此列表限制条件定义了允许的入站流量设置，这些设置可用于部署 Cloud Functions (第 1 代) 函数。如果强制执行此限制条件，函数需要具有与某个允许的值匹配的入站流量设置。 默认情况下，Cloud Functions 函数可以使用任意入站流量设置。 入站流量设置必须使用 IngressSettings 枚举的值在许可名单中指定。对于 Cloud Functions (第 2 代)，可使用限制条件 constraints/run.allowedIngress。constraints/cloudfunctions.allowedIngressSettings |
"is:" |
| Cloud Functions | 允许使用的 VPC 连接器出站流量设置 (Cloud Functions) | 此列表限制条件定义了允许的 VPC 连接器出站流量设置，这些设置可用于部署 Cloud Functions (第 1 代) 函数。如果强制执行此限制条件，函数需要具有与某个允许的值匹配的 VPC 连接器出站流量设置。 默认情况下，Cloud Functions 可以使用任何 VPC 连接器出站流量设置。 必须使用 VpcConnectorEgressSettings 枚举的值在许可名单中指定 VPC 连接器出站流量设置。对于 Cloud Functions (第 2 代)，请使用限制条件 constraints/run.allowedVPCEgress。constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
"is:" |
| Cloud Functions | 要求使用 VPC 连接器 (Cloud Functions) | 在部署 Cloud Functions (第 1 代) 函数时，此布尔值限制条件会强制设置 VPC 连接器。如果强制执行此限制条件，函数需要指定一个 VPC 连接器。 默认情况下，无需指定 VPC 连接器即可部署 Cloud Functions 函数。 constraints/cloudfunctions.requireVPCConnector |
"is:" |
| Cloud Functions | 允许的 Cloud Functions 世代 | 此列表限制条件定义了一组允许的 Cloud Functions 函数世代，它们可用于创建新的 Functions 函数资源。有效值包括：1stGen、2ndGen。constraints/cloudfunctions.restrictAllowedGenerations |
"is:" |
| Cloud KMS | 限制可以创建哪些 KMS CryptoKey 类型。 | 此列表限制条件指定了可以在给定层次结构节点下创建的 Cloud KMS 密钥类型。实施此限制条件后，只有此组织政策中指定的 KMS 密钥类型可以在关联的层次结构节点中创建。配置此组织政策还会影响导入作业和密钥版本的保护级别。默认情况下，系统允许创建所有密钥类型。有效值包括：SOFTWARE、HSM、EXTERNAL、EXTERNAL_VPC。不允许拒绝政策。constraints/cloudkms.allowedProtectionLevels |
"is:" |
| Cloud KMS | 将密钥销毁限制为已停用的密钥版本 | 强制执行此布尔值限制条件时，系统会只允许销毁处于停用状态的密钥版本。默认情况下，系统可以销毁处于启用和停用状态的密钥版本。当强制执行此限制条件时，它会应用于新的和现有的密钥版本。constraints/cloudkms.disableBeforeDestroy |
"is:" |
| Cloud KMS | 每个密钥的最短预定销毁时长 | 此列表限制条件定义了用户在创建新密钥时可指定的最短安排销毁时长（天数）。强制执行此限制条件时，将无法创建安排销毁时长小于此值的密钥。默认情况下，所有密钥的最短安排销毁时长都是 1 天，但仅限导入的密钥除外，其最短安排销毁时长为 0 天。 只能指定一个格式为 in:1d、in:7d、in:15d、in:30d、in:60d、in:90d 或 in:120d 的允许值。例如，如果 constraints/cloudkms.minimumDestroyScheduledDuration 设置为 in:15d，那么用户就可以创建将安排销毁时长设置为高于 15 天（如 16 天或 31 天）的任何值的密钥。不过，用户不能创建安排销毁时长低于 15 天（如 14 天）的密钥。对于层次结构中的每项资源，最短安排销毁时长可以继承、替换父资源的政策或与其合并。当资源的政策与父资源的政策合并时，资源的最短安排销毁时长有效值是以下二者中的最小值：自身政策中指定的值、父资源最短安排销毁时长有效值。例如，如果某组织的最短安排销毁时长为 7 天，而子项目的政策设置为“与父级政策合并”且值为 in:15d，那么该项目的最短安排销毁时长有效值就是 7 天。constraints/cloudkms.minimumDestroyScheduledDuration |
"is:" 和 "in:" |
| Cloud Scheduler | 允许的作业目标类型 | 此列表限制条件定义了 Cloud Scheduler 作业允许使用的目标类型列表，如 App Engine HTTP、HTTP 或 Pubsub。 默认情况下，允许使用所有作业目标。 有效值包括： APPENGINE、HTTP、PUBSUB。constraints/cloudscheduler.allowedTargetTypes |
"is:" |
| Cloud SQL | 限制 Cloud SQL 实例的授权网络 | 设为 True 时，此布尔值限制条件会限制向 Cloud SQL 实例添加授权网络来进行无代理的数据库访问。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有授权网络的 Cloud SQL 实例也仍然照常运作。默认情况下，系统允许向 Cloud SQL 实例添加授权网络。 constraints/sql.restrictAuthorizedNetworks |
"is:" |
| Cloud SQL | 停用 Cloud SQL 中的诊断和管理员权限路径，以满足合规性要求。 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，可支持性的某些方面将受到损害，不符合 Assured Workloads 高级主权要求的诊断和其他客户支持用例的所有访问路径都将停用。constraints/sql.restrictNoncompliantDiagnosticDataAccess |
"is:" |
| Cloud SQL | 限制 Cloud SQL 实例的不合规工作负载。 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，可支持性的某些方面将受到损害，预配的资源将严格遵守 Assured Workloads 的高级主权要求。此政策具有追溯性，因为它将应用于现有项目，但不会影响已预配的资源；也就是说，对此政策的修改只会体现在政策修改后创建的资源中。constraints/sql.restrictNoncompliantResourceCreation |
"is:" |
| Cloud SQL | 限制 Cloud SQL 实例的公共 IP 访问权限 | 设置为 True 时，该布尔值限制条件会限制在 Cloud SQL 实例上配置公共 IP 地址。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有公共 IP 访问权限的 Cloud SQL 实例也仍然照常运作。默认情况下，系统允许为 Cloud SQL 实例配置公共 IP 访问权限。 constraints/sql.restrictPublicIp |
"is:" |
| Google Cloud Marketplace | 停用公开市场 | 强制执行此布尔值限制条件时，系统会对组织内的所有用户停用 Google Cloud Marketplace。默认情况下，系统会为组织启用公共市场访问权限。此政策仅在启用 Private Marketplace（https://cloud.google.com/marketplace/docs/governance/enable-private-marketplace）后才有效。 重要提示：为获得最佳体验，我们强烈建议您使用 Marketplace 用户访问权限限制功能（如 https://cloud.google.com/marketplace/docs/governance/strict-user-access 中所述）来防止在贵组织中擅自使用 Marketplace，而不是通过此组织政策来实现此目的。 constraints/commerceorggovernance.disablePublicMarketplace |
"is:" |
| Google Cloud Marketplace | 限制对购物平台服务的访问权限 | 此列表限制条件定义了允许市场组织提供的一系列服务，并且只能包含下方列表中的值：
IAAS_PROCUREMENT 在允许值列表中，则会对所有产品启用 IaaS 采购治理体验。默认情况下，IaaS 采购治理体验处于关闭状态。IAAS_PROCUREMENT 政策独立于“请求采购”治理功能，后者专用于 Cloud Marketplace 上列出的 SaaS 产品。注意：PRIVATE_MARKETPLACE 值已不再受支持，使用该值没有任何效果。如需启用 Google Private Marketplace，您必须按照 https://cloud.google.com/marketplace/docs/governance/enable-private-marketplace 中的说明操作。 constraints/commerceorggovernance.marketplaceServices |
"is:" |
| Compute Engine | 允许的 VLAN 连接加密设置 | 此列表限制条件定义了新 VLAN 连接允许的加密设置。 默认情况下，VLAN 连接可以使用任何加密设置。 将 IPSEC 设置为允许的值，以强制要求仅创建已加密的 VLAN 连接。 constraints/compute.allowedVlanAttachmentEncryption |
"is:" |
| Compute Engine | 禁止使用所有 IPv6 | 此布尔值限制条件设为 True 时，将禁止创建或更新使用 IPv6 所涉及的任何 Google Compute Engine 资源。默认情况下，具有适当 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新涉及到 IPv6 使用的 Google Compute Engine 资源。 如果设置了此限制条件，则它的优先级将高于其他 IPv6 组织限制条件（包括 disableVpcInternalIpv6、disableVpcExternalIpv6 和 disableHybridCloudIpv6）。constraints/compute.disableAllIpv6 |
"is:" |
| Compute Engine | 禁止创建 Cloud Armor 安全政策 | 强制执行此布尔值限制条件时，系统会禁止创建 Cloud Armor 安全政策。 默认情况下，您可以在任何组织、文件夹或项目中创建 Cloud Armor 安全政策。 constraints/compute.disableGlobalCloudArmorPolicy |
"is:" |
| Compute Engine | 停用全球负载均衡 | 此布尔值限制条件禁止创建全球负载均衡产品。强制执行时，您只能创建没有全球依赖项的区域级负载均衡产品。默认情况下，允许创建全球负载均衡产品。constraints/compute.disableGlobalLoadBalancing |
"is:" |
| Compute Engine | 禁止创建自行管理的全球 SSL 证书 | 强制执行此布尔值限制条件时，系统会禁止创建自行管理的全球 SSL 证书。此限制条件不会禁止创建 Google 代管的证书或自行管理的区域级证书。 默认情况下，您可以在任何组织、文件夹或项目中创建自行管理的全球 SSL 证书。 constraints/compute.disableGlobalSelfManagedSslCertificate |
"is:" |
| Compute Engine | 停用对虚拟机串行端口的全局访问权限 | 此布尔值限制条件会禁止对属于实施此限制条件的组织、项目或文件夹的 Compute Engine 虚拟机进行全局串行端口访问。默认情况下，客户可以使用元数据属性以每个虚拟机或每个项目为基础进行 Compute Engine 虚拟机串行端口访问。无论元数据属性如何，实施此限制条件都会停用 Compute Engine 虚拟机的全局串行端口访问权限。区域串行端口访问权限不受此限制条件的影响。如需停用所有串行端口访问权限，请改用 compute.disableSerialPortAccess 限制条件。constraints/compute.disableGlobalSerialPortAccess |
"is:" |
| Compute Engine | 停用 Compute Engine 元数据的客机特性 | 设为 True 时，此布尔值限制条件会禁止通过 Compute Engine API 访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机的客机特性。默认情况下，系统允许使用 Compute Engine API 访问 Compute Engine 虚拟机的客机特性。 constraints/compute.disableGuestAttributesAccess |
"is:" |
| Compute Engine | 禁止使用混合云 IPv6 | 当此布尔值限制条件强制执行时，会禁止创建或更新 stack_type 为 IPV4_IPV6 或 IPV6_ONLY，或者 gatewayIpVersion 为 IPv6 的混合云资源，包括互连连接和 Cloud VPN 网关。如果对 Cloud Router 资源强制执行此限制条件，则会停用创建 IPv6 边界网关协议 (BGP) 会话的功能，以及通过 IPv4 BGP 会话启用 IPv6 路由交换的功能。 默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的混合云资源。constraints/compute.disableHybridCloudIpv6 |
"is:" |
| Compute Engine | 停用实例数据访问 API | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，系统会停用访问虚拟机串行端口输出的 GetSerialPortOutput API，以及从虚拟机界面捕获屏幕截图的 GetScreenshot API。constraints/compute.disableInstanceDataAccessApis |
"is:" |
| Compute Engine | 停用互联网网络端点组 | 此布尔值限制条件限定用户能否创建类型 (type) 为 INTERNET_FQDN_PORT 和 INTERNET_IP_PORT 的互联网网络端点组 (NEG)。默认情况下，具有相应 IAM 权限的任何用户都可以在任何项目中创建互联网 NEG。 constraints/compute.disableInternetNetworkEndpointGroup |
"is:" |
| Compute Engine | 停用虚拟机嵌套虚拟化 | 设置为 True 时，此布尔值限制条件会对属于相应组织、项目或文件夹的所有 Compute Engine 虚拟机停用硬件加速的嵌套虚拟化功能。默认情况下，在 Intel Haswell 或更新的 CPU 平台上运行的所有 Compute Engine 虚拟机都可以使用硬件加速的嵌套虚拟化功能。 constraints/compute.disableNestedVirtualization |
"is:" |
| Compute Engine | 强制执行符合 FIPS 要求的机器类型 | 强制执行此布尔值限制条件时，系统会禁止创建不符合 FIPS 要求的虚拟机实例类型。constraints/compute.disableNonFIPSMachineTypes |
"is:" |
| Compute Engine | 为使用方停用 Private Service Connect | 此列表限制条件定义了用户无法为其创建转发规则的一组 Private Service Connect 端点类型。当强制执行此限制条件时，系统将阻止用户为 Private Service Connect 端点类型创建转发规则。此限制条件不会追溯强制执行。 默认情况下，您可以为任何 Private Service Connect 端点类型创建转发规则。 Private Service Connect 端点的允许/拒绝列表必须来自以下列表：
GOOGLE_APIS 会限制创建用于访问 Google API 的 Private Service Connect 转发规则。在允许/拒绝列表中使用 SERVICE_PRODUCERS 会限制创建用于访问另一个 VPC 网络中的服务的 Private Service Connect 转发规则。constraints/compute.disablePrivateServiceConnectCreationForConsumers |
"is:" |
| Compute Engine | 禁止访问虚拟机串行端口 | 设置为 True 时，此布尔值限制条件会禁止通过串行端口访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机。默认情况下，客户可以使用元数据特性针对单个虚拟机或项目进行 Compute Engine 虚拟机串行端口访问。无论元数据属性如何，强制执行此限制条件会停用 Compute Engine 虚拟机串行端口访问。 constraints/compute.disableSerialPortAccess |
"is:" |
| Compute Engine | 禁止虚拟机串行端口输出记录到 Stackdriver | 如果组织、项目或文件夹实施了此布尔值限制条件，则系统不允许将属于该组织、项目或文件夹的 Compute Engine 虚拟机的串行端口输出记录到 Stackdriver。 默认情况下，Compute Engine 虚拟机的串行端口输出日志记录功能处于停用状态，您可以使用元数据特性针对单个虚拟机或项目有选择地启用此功能。实施这项限制条件时，系统会为新创建的 Compute Engine 虚拟机停用串行端口输出日志记录功能，并禁止用户将任何虚拟机（无论新旧）的元数据特性更改为 True。停用串行端口输出日志记录功能可能会导致依赖于它的某些服务（如 Google Kubernetes Engine 集群）无法正常运行。在强制执行此限制条件之前，请确认项目中的产品不依赖于串行端口输出日志记录功能。constraints/compute.disableSerialPortLogging |
"is:" |
| Compute Engine | 停用 SSH-in-browser | 此布尔值限制条件会对使用 OS Login 的虚拟机和 App Engine 柔性环境虚拟机停用 Cloud 控制台内“浏览器中的 SSH”工具。强制执行此限制条件时，浏览器中的 SSH 按钮将停用。默认情况下，系统允许使用“浏览器中的 SSH”工具。constraints/compute.disableSshInBrowser |
"is:" |
| Compute Engine | 禁止使用 VPC 外部的 IPv6 | 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 EXTERNAL 的子网。默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。constraints/compute.disableVpcExternalIpv6 |
"is:" |
| Compute Engine | 禁止使用 VPC 内部的 IPv6 | 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 INTERNAL 的子网。默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。constraints/compute.disableVpcInternalIpv6 |
"is:" |
| Compute Engine | 启用合规性内存保护工作负载所需的设置 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。此限制条件用于控制消除虚拟机核心内存的潜在访问路径所需的设置。强制执行此限制条件后，它会通过停用访问路径来限制访问虚拟机核心内存的能力，并在发生错误时限制内部数据收集。constraints/compute.enableComplianceMemoryProtection |
"is:" |
| Compute Engine | 对于显示某个区域配额信息的 List 方法，禁止其在有故障时照常执行的行为 | 如果强制执行此布尔值限制条件，系统会停止 regions.list、regions.get 和 projects.get 方法在服务器端有故障时仍照常执行的行为。这意味着如果强制执行此限制条件，当无法获取配额信息时，这些方法会失败。默认情况下，当无法获取配额信息时，这些方法即使在服务器端出现故障的情况下也会成功，并会显示一条警告消息。constraints/compute.requireBasicQuotaInResponse |
"is:" |
| Compute Engine | 需要 OS Config | 如果强制执行此布尔值限制条件，系统会对所有新项目启用虚拟机管理器（操作系统配置）。将对新项目中创建的所有虚拟机实例启用虚拟机管理器。对于新项目和现有项目，此限制条件将阻止会在项目或实例级别停用虚拟机管理器的元数据更新。 默认情况下，系统会对 Compute Engine 项目停用虚拟机管理器。 constraints/compute.requireOsConfig |
"is:" |
| Compute Engine | 要求使用 OS Login | 设为 true 时，此布尔值限制条件会为所有新创建的项目启用 OS Login。在新项目中创建的所有虚拟机实例都将启用 OS Login。如果在新项目和现有的项目中设置此限制，将无法进行会在项目或实例级停用 OS Login 的元数据更新。默认情况下，OS Login 功能在 Compute Engine 项目中处于停用状态。 运行节点池 1.20.5-gke.2000 及更高版本的专用集群中的 GKE 实例支持 OS Login。公共集群中的 GKE 实例目前不支持 OS Login。如果对某个运行公共集群的项目应用此限制条件，则该项目中运行的 GKE 实例可能无法正常运行。 constraints/compute.requireOsLogin |
"is:" |
| Compute Engine | 安全强化型虚拟机 | 如果此布尔值限制条件设为 True，则所有新 Compute Engine 虚拟机实例都必须使用启用了安全启动、vTPM 和完整性监控选项的安全强化型磁盘映像。如果需要，您可以在创建实例后停用安全启动。运行中的现有实例会继续正常运行。默认情况下，无需启用安全强化型虚拟机功能即可创建 Compute Engine 虚拟机实例。安全强化型虚拟机功能可为您的虚拟机添加可验证的完整性和抗渗漏性。 constraints/compute.requireShieldedVm |
"is:" |
| Compute Engine | 需要指定 SSL 政策 | 此列表限制条件定义了一组可以使用默认 SSL 政策的目标 SSL 代理和目标 HTTPS 代理。默认情况下，所有目标 SSL 代理和目标 HTTPS 代理均可使用默认 SSL 政策。实施此限制条件后，新的目标 SSL 代理和目标 HTTPS 代理将需要指定 SSL 政策。此限制条件的实施不具有可追溯性。使用默认 SSL 政策的现有目标代理不受影响。目标 SSL 代理和目标 HTTPS 代理的许可名单/拒绝名单必须采用以下格式：
constraints/compute.requireSslPolicy |
"is:" 和 "under:" |
| Compute Engine | 必须提供 VPC 流日志的预定义政策 | 此列表限制条件定义了可以针对 VPC 流日志强制执行的一组预定义政策。 默认情况下，可以使用每个子网中的任何设置来配置 VPC 流日志。 此限制条件可为范围内符合最低采样率要求的所有子网强制启用流日志。 请指定以下一个或多个有效值：
constraints/compute.requireVpcFlowLogs |
"is:" |
| Compute Engine | 限制 Cloud NAT 用量 | 此列表限制条件定义了可以使用 Cloud NAT 的一组子网。默认情况下，所有子网都可以使用 Cloud NAT。子网的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME。constraints/compute.restrictCloudNATUsage |
"is:"、"under:" |
| Compute Engine | 限制跨项目的后端存储分区和后端服务 | 此列表限制条件会限制 urlMap 资源可附加到的 BackendBucket 和 BackendService 资源。此限制条件不适用于与 urlMap 资源位于同一项目中的 BackendBucket 和 BackendServices。默认情况下，只要用户拥有 compute.backendService.use、compute.regionBackendServices.use 或 compute.backendBuckets.use 权限，一个项目中的 urlMap 资源就可以引用同一组织中其他项目的兼容 backendBuckets 和 BackendServices。建议不要将此限制条件与 compute.restrictSharedVpcBackendServices 限制条件一起使用，以避免冲突。允许或拒绝列表中的项目、文件夹和组织资源会影响资源层次结构中位于自身下方的所有 BackendBuckets 和 BackendServices。只有项目、文件夹和组织资源才能添加到允许或拒绝列表中，并且必须采用以下格式：
constraints/compute.restrictCrossProjectServices |
"is:" 和 "under:" |
| Compute Engine | 限制专用互连用量 | 此列表限制条件定义了一组可以使用专用互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。constraints/compute.restrictDedicatedInterconnectUsage |
"is:"、"under:" |
| Compute Engine | 根据负载平衡器类型限制负载平衡器的创建 | 此列表限制条件定义了可以为组织、文件夹或项目创建的负载平衡器类型。必须明确列出各个要允许或拒绝的负载平衡器类型。默认情况下，允许创建所有类型的负载平衡器。 允许或拒绝值列表必须使用负载平衡器的字符串名称进行标识，并且只能包含下方列表中的值：
如需包含所有的内部或外部负载均衡器类型，请使用 in: 前缀，后跟 INTERNAL 或 EXTERNAL。例如，通过允许 in:INTERNAL 将允许上述列表中包含 INTERNAL 的所有负载平衡器类型。 constraints/compute.restrictLoadBalancerCreationForTypes |
"is:"、"in:" |
| Compute Engine | 限制非机密计算 | 此列表限制条件的拒绝名单定义了一组要求在创建所有新资源时都启用机密计算的服务。默认情况下，新资源不需要使用机密计算。在强制执行此列表限制条件期间，该资源的整个生命周期内都必须使用机密计算。现有资源会继续照常运行。拒绝的服务名单必须使用 API 的字符串名称进行标识，并且只能包含下方列表中明确拒绝的值。系统目前不支持明确允许 API。明确拒绝不在此列表中的 API 将导致出错。支持的 API 列表：[compute.googleapis.com, container.googleapis.com]constraints/compute.restrictNonConfidentialComputing |
"is:" |
| Compute Engine | 限制合作伙伴互连用量 | 此列表限制条件定义了一组可以使用合作伙伴互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。constraints/compute.restrictPartnerInterconnectUsage |
"is:"、"under:" |
| Compute Engine | 限制允许的 Private Service Connect 使用方 | 此列表限制条件定义了可以连接到提供方组织或项目内服务连接的组织、文件夹和项目。允许或拒绝列表必须采用以下格式：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 under:projects/PROJECT_ID。默认情况下，系统允许所有连接。constraints/compute.restrictPrivateServiceConnectConsumer |
"is:" 和 "under:" |
| Compute Engine | 限制允许的 Private Service Connect 提供方 | 此列表限制条件定义了 Private Service Connect 使用方可以连接到哪些服务连接。此限制条件会根据端点或后端引用的服务连接的组织、文件夹或项目资源，阻止部署 Private Service Connect 端点或后端。允许或拒绝列表必须采用以下格式：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 under:projects/PROJECT_ID。默认情况下，系统允许所有连接。constraints/compute.restrictPrivateServiceConnectProducer |
"is:" 和 "under:" |
| Compute Engine | 根据 IP 地址类型限制协议转发 | 此列表限制条件定义了用户可以创建的带有目标实例的协议转发规则对象类型。实施此限制条件后，根据指定的类型，带有目标实例的新转发规则对象将仅限于内部和/或外部 IP 地址。必须明确列出要允许或拒绝的类型。默认情况下，允许创建带有目标实例的内部和外部协议转发规则对象。 允许或拒绝值列表只能包含下方列表中的值：
constraints/compute.restrictProtocolForwardingCreationForTypes |
"is:" |
| Compute Engine | 限制共享 VPC 后端服务 | 此列表限制条件定义了符合条件的资源可以使用的一组共享 VPC 后端服务。此限制条件不适用于同一项目中的资源。默认情况下，符合条件的资源可以使用任何共享 VPC 后端服务。后端服务的允许/拒绝列表必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、projects/PROJECT_ID/regions/REGION/backendServices/BACKEND_SERVICE_NAME 或 projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME。此限制条件不具有可追溯性。 constraints/compute.restrictSharedVpcBackendServices |
"is:"、"under:" |
| Compute Engine | 限制共享 VPC 宿主项目 | 此列表限制条件定义了一组共享 VPC 宿主项目，此资源中或其子资源中的项目可以附加到这组共享项目。默认情况下，一个项目可以附加到同一组织中的任何宿主项目，从而成为服务项目。允许/拒绝列表中的项目、文件夹和组织会影响资源层次结构中位于其自身下方的所有对象，并且必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID。constraints/compute.restrictSharedVpcHostProjects |
"is:"、"under:" |
| Compute Engine | 限制共享 VPC 子网 | 此列表限制条件定义了符合条件的资源可以使用的一组共享 VPC 子网络。此限制条件不适用于同一项目中的资源。默认情况下，符合条件的资源可以使用任何共享 VPC 子网络。子网的允许/拒绝列表必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME。constraints/compute.restrictSharedVpcSubnetworks |
"is:"、"under:" |
| Compute Engine | 限制 VPC 对等互连用量 | 此列表限制条件定义了可与属于此项目、文件夹或组织的 VPC 网络建立对等互连的一组 VPC 网络。每个对等互联端都必须拥有对等互联权限。默认情况下，一个网络的 Network Admin 可与其他任何网络建立对等互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。constraints/compute.restrictVpcPeering |
"is:"、"under:" |
| Compute Engine | 限制 VPN 对等 IP | 此列表限制条件定义了可配置为 VPN 对等 IP 的一组有效 IP 地址。默认情况下，任何 IP 都可以是 VPC 网络的 VPN 对等 IP。IP 地址的允许/拒绝列表必须指定为以下格式的有效 IP 地址：IP_V4_ADDRESS 或 IP_V6_ADDRESS。constraints/compute.restrictVpnPeerIPs |
"is:" |
| Compute Engine | 将新项目的内部 DNS 设置设为“仅限区域 DNS” | 如果设置为“True”，新创建的项目将默认使用区域 DNS。默认情况下，此限制条件设置为“False”，新创建的项目将使用默认 DNS 类型。constraints/compute.setNewProjectDefaultToZonalDNSOnly |
"is:" |
| Compute Engine | 共享预留所有者项目 | 此列表限制条件定义了一组可在组织中创建和拥有共享预留的项目。共享预留与本地预留类似，只不过它们并非只能由所有者项目使用，还可供资源层次结构中的其他 Compute Engine 项目使用。允许访问共享预留的项目列表必须采用以下格式：projects/PROJECT_NUMBER 或 under:projects/PROJECT_NUMBER。constraints/compute.sharedReservationsOwnerProjects |
"is:"、"under:" |
| Compute Engine | 跳过默认网络创建 | 设置为 True 时，此布尔值限制条件会在 Google Cloud Platform 项目资源创建期间跳过默认网络和相关资源的创建作业。默认情况下，系统会在创建项目资源时自动创建默认网络和支持资源。constraints/compute.skipDefaultNetworkCreation |
"is:" |
| Compute Engine | 计算存储资源使用限制（Compute Engine 磁盘、映像和快照） | 此列表限制条件定义了一组可以使用 Compute Engine 存储资源的项目。默认情况下，任何具有相应 Cloud IAM 权限的人员都可以访问 Compute Engine 资源。使用此限制条件时，用户必须具备 Cloud IAM 权限，且不能被限制条件限制访问资源。 允许或拒绝列表中指定的项目、文件夹和组织必须分别采用以下格式： under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID。constraints/compute.storageResourceUseRestrictions |
"is:"、"under:" |
| Compute Engine | 定义可信映像项目 | 此列表限制条件定义了一组可用于针对 Compute Engine 进行映像存储和磁盘实例化的项目。 默认情况下，可以基于向该用户公开或明确共享映像的任何项目中的映像创建实例。 发布商项目的允许/拒绝列表必须是采用以下格式的字符串： projects/PROJECT_ID。如果此限制条件已启用，那么只有可信项目中的映像可用作新实例启动磁盘的来源。constraints/compute.trustedImageProjects |
"is:" |
| Compute Engine | 限制虚拟机 IP 转发功能 | 此列表限制条件定义了可启用 IP 转发功能的一组虚拟机实例。默认情况下，任何虚拟机都可以在任何虚拟网络中启用 IP 转发功能。虚拟机实例必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME。此限制条件不具有可追溯性。 constraints/compute.vmCanIpForward |
"is:"、"under:" |
| Compute Engine | 为虚拟机实例定义允许的外部 IP | 此列表限制条件定义了一组可以使用外部 IP 地址的 Compute Engine 虚拟机实例。 默认情况下，所有虚拟机实例都可以使用外部 IP 地址。 虚拟机实例的允许/拒绝列表必须由虚拟机实例名称标识，格式为： projects/PROJECT_ID/zones/ZONE/instances/INSTANCE constraints/compute.vmExternalIpAccess |
"is:" |
| Compute Engine | 禁止在全球性资源上启用 Identity-Aware Proxy (IAP) | 强制执行此布尔值限制条件时，系统会禁止在全球性资源上启用 Identity-Aware Proxy。在区域级资源上启用 IAP 不受此限制条件的限制。 默认情况下，允许在全球性资源上启用 IAP。 constraints/iap.requireGlobalIapWebDisabled |
"is:" |
| Google Kubernetes Engine | 停用 GKE 中的诊断和管理员权限路径。 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，不符合 Assured Workloads 要求的诊断和其他客户支持用例的所有访问路径都将被停用。constraints/container.restrictNoncompliantDiagnosticDataAccess |
"is:" |
| Dataform | 限制通过 Git 远程访问 Dataform 中的仓库 | 此列表限制条件定义了一组可与 Dataform 项目中的仓库通信的远程仓库。如需阻止与所有远程仓库的通信，请将值设置为 Deny all。此限制条件具有可追溯性，会阻止违反此限制条件的现有仓库进行通信。条目应为指向可信远程仓库的链接，格式与 Dataform 中提供的相同。默认情况下，Dataform 项目中的仓库可以与任何远程仓库进行通信。 constraints/dataform.restrictGitRemotes |
"is:" |
| Datastream | Datastream - 禁止使用公共连接方法 | 默认情况下，可以使用公共或专用连接方法创建 Datastream 连接配置文件。如果强制执行了此组织政策的布尔值限制，则只能使用专用连接方法（例如 VPC 对等互连）创建连接配置文件。 constraints/datastream.disablePublicConnectivity |
"is:" |
| 重要联系人 | 网域限定联系人 | 此列表限制条件指定了添加到重要联系人中的电子邮件地址可以拥有的一组网域。 默认情况下，任何网域中的电子邮件地址都可以添加到重要联系人中。 允许/拒绝列表必须指定一个或多个 @example.com 形式的网域。如果此限制条件已启用并配置了允许的值，只有后缀与域名许可名单中的某个条目匹配的电子邮件地址才可以添加到重要联系人中。此限制条件不会影响现有联系人的更新或移除。 constraints/essentialcontacts.allowedContactDomains |
"is:" |
| 重要联系人 | 停用项目安全联系人 | 强制执行此布尔值限制条件时，系统会允许组织政策管理员确保只有在组织或文件夹级别分配的联系人才能接收安全通知。具体来说，如果联系人也有项目资源作为父级，强制执行此限制条件会阻止项目所有者和联系人管理员创建或更新“notification_category_subscriptions”字段包含 SECURITY 或 ALL 类别的重要联系人。constraints/essentialcontacts.disableProjectSecurityContacts |
"is:" |
| Firestore | 需要 Firestore Service Agent 才能导入/导出 | 强制执行布尔值限制条件时，系统会要求 Firestore 导入和导出使用 Firestore Service Agent。 默认情况下，Firestore 导入和导出可以使用 App Engine 服务账号。 Firestore 将来会停止使用 App Engine 服务账号来执行导入和导出，并且所有账号都需要迁移到 Firestore Service Agent，此后将不再需要此限制条件。 constraints/firestore.requireP4SAforImportExport |
"is:" |
| Cloud Healthcare | 针对 Cloud Healthcare API 停用 Cloud Logging | 强制执行此布尔值限制条件时，系统会针对 Cloud Healthcare API 停用 Cloud Logging。 审核日志不受此限制条件影响。 在强制执行该限制条件之前为 Cloud Healthcare API 生成的 Cloud 日志不会被删除，仍然可供访问。 constraints/gcp.disableCloudLogging |
"is:" |
| Identity and Access Management | 允许将 OAuth 2.0 访问令牌的生命周期延长至 12 小时 | 此列表限制条件定义了一组可以授予生命周期长达 12 小时的 OAuth 2.0 访问令牌的服务账号。默认情况下，这些访问令牌的最长生命周期为 1 小时。 服务账号的允许/拒绝列表必须指定一个或多个服务账号电子邮件地址。 constraints/iam.allowServiceAccountCredentialLifetimeExtension |
"is:" |
| Identity and Access Management | 网域限定共享 | 此列表限制条件定义了可将其主账号添加至 IAM 政策中的一个或多个 Cloud Identity 或 Google Workspace 客户 ID。 默认情况下，所有用户身份都可以添加至 IAM 政策。此限制条件中只能定义允许的值，不支持定义拒绝的值。 如果此限制条件已启用，则只有属于允许的客户 ID 的主账号才能被添加至 IAM 政策。 您无需向此列表中添加 google.com 客户 ID 即可与 Google 服务进行交互。添加 google.com 会允许与 Google 员工和非生产系统共享数据，并且该操作应当仅用于和 Google 员工共享数据。 constraints/iam.allowedPolicyMemberDomains |
"is:" |
| Identity and Access Management | 停用审核日志记录豁免 | 强制执行此布尔值限制条件时，系统会禁止您豁免对其他主账号的审核日志记录。此限制条件不会影响其实施之前便已存在的任何审核日志记录豁免。constraints/iam.disableAuditLoggingExemption |
"is:" |
| Identity and Access Management | 停用跨项目服务账号使用情况 | 当强制执行时，服务账号只能使用 ServiceAccountUser 角色部署到服务账号所在项目中运行的作业（虚拟机、函数等）。 constraints/iam.disableCrossProjectServiceAccountUsage |
"is:" |
| Identity and Access Management | 禁止创建服务账号 | 设置为“True”时，此布尔值限制条件会禁止创建服务账号。 默认情况下，用户可根据其 Cloud IAM 角色和权限创建服务账号。 constraints/iam.disableServiceAccountCreation |
"is:" |
| Identity and Access Management | 禁止创建服务账号密钥 | 强制执行此布尔值限制条件时，系统会禁止创建服务账号外部密钥和 Cloud Storage HMAC 密钥。 默认情况下，用户可以根据其 Cloud IAM 角色和权限创建服务账号外部密钥。 constraints/iam.disableServiceAccountKeyCreation |
"is:" |
| Identity and Access Management | 停用服务账号密钥上传功能 | 设置为“True”时，此布尔值限制条件会停用允许向服务账号上传公钥的功能。 默认情况下，用户可根据其 Cloud IAM 角色和权限向服务账号上传公钥。 constraints/iam.disableServiceAccountKeyUpload |
"is:" |
| Identity and Access Management | 停用 Workload Identity 集群创建 | 设置为“True”时，此布尔值限制条件会要求所有新的 GKE 集群在创建时停用 Workload Identity。已启用 Workload Identity 的现有 GKE 集群会继续正常运行。默认情况下，可以为任何 GKE 集群启用 Workload Identity。constraints/iam.disableWorkloadIdentityClusterCreation |
"is:" |
| Identity and Access Management | 服务账号密钥到期时长（小时） | 此列表限制条件定义了服务账号密钥到期的最长时长。默认情况下，创建的密钥永不过期。 允许的时长以小时为单位，必须来自以下列表。只能指定一个允许的值，不支持指定拒绝的值。如果指定的时长不在此列表中，则会导致错误。
inheritFromParent=false（如果使用 gcloud CLI 的话）。此限制条件不能与父级政策合并。此限制条件的强制执行不可追溯，也不会改变已存在的密钥。constraints/iam.serviceAccountKeyExpiryHours |
"is:" |
| Identity and Access Management | 服务账号密钥泄露响应措施 | 此列表限制条件规定了在 Google 检测到某个服务账号密钥被公开泄露时应采取的响应措施。如果未设置，则默认为采取 DISABLE_KEY 对应的行为。允许的值为 DISABLE_KEY 和 WAIT_FOR_ABUSE。不得使用未明确包含在此列表中的值。只能指定一个允许的值，不支持指定拒绝的值。若使用 DISABLE_KEY 值，系统会自动停用任何被公开泄露的服务账号密钥，并在审核日志中创建一个条目。若使用 WAIT_FOR_ABUSE 值，系统会停用此保护措施，并且不会自动停用被泄露的服务账号密钥。不过，如果公开的服务账号密钥的使用方式对平台产生不利影响，Google Cloud 可能会停用这些密钥，但不保证一定会这样做。如需强制执行此限制条件，请在 Google Cloud Console 中将其设置为替换父级政策，或在政策文件中设置 inheritFromParent=false（如果使用 gcloud CLI 的话）。此限制条件不能与父级政策合并。constraints/iam.serviceAccountKeyExposureResponse |
"is:" |
| Identity and Access Management | 可在 Cloud IAM 中为工作负载身份联合配置的允许的 AWS 账号 | 可在 Cloud IAM 中为工作负载身份联合配置的 AWS 账号 ID 列表。 constraints/iam.workloadIdentityPoolAwsAccounts |
"is:" |
| Identity and Access Management | 为处理工作负载而允许 Cloud IAM 联系的外部身份提供商 | 可以进行配置以在 Cloud IAM 内进行工作负载身份验证的身份提供商（通过 URI/网址指定）。constraints/iam.workloadIdentityPoolProviders |
"is:" |
| Anthos Service Mesh 代管式控制平面。 | 适用于 Anthos Service Mesh 代管式控制平面的 VPC Service Controls 模式 | 此限制条件确定在预配新的 Anthos Service Mesh 代管式控制平面时可以设置哪些 VPC Service Controls 模式。有效值为“NONE”和“COMPATIBLE”。constraints/meshconfig.allowedVpcscModes |
"is:" |
| Cloud Pub/Sub | 为 Pub/Sub 消息强制执行传输中区域 | 强制执行此布尔值限制条件后，系统在创建所有新的 Pub/Sub 主题时都会将其 MessageStoragePolicy::enforce_in_transit 设置为 true。这可确保客户数据只在相应主题的消息存储政策中指定的允许区域内传输。constraints/pubsub.enforceInTransitRegions |
"is:" |
| Resource Manager | 限制共享 VPC 项目安全锁移除作业 | 此布尔值限制条件设为 True 时，在没有组织级别权限的情况下可以移除共享 VPC 宿主项目安全锁的一组用户将受到此限制条件的限制。默认情况下，任何具有安全锁更新权限的用户都可以移除共享 VPC 宿主项目的安全锁。强制执行此限制条件需要在组织级别授予权限。 constraints/compute.restrictXpnProjectLienRemoval |
"is:" |
| Resource Manager | 限制移除跨项目服务账号安全锁 | 当强制执行此布尔值限制条件时，系统可防止用户在没有组织级别权限的情况下移除跨项目服务账号安全锁。默认情况下，任何具有安全锁更新权限的用户都可以移除跨项目服务账号安全锁。强制执行此限制条件需要在组织级别授予该权限。 constraints/iam.restrictCrossProjectServiceAccountLienRemoval |
"is:" |
| Resource Manager | 限制资源查询的公开范围 | 针对某个组织资源强制执行此列表限制条件后，系统会为执行此限制条件的组织的网域用户指定返回到列表的一组 Google Cloud 资源和搜索方法。这可用于限制在 Cloud Console 的各个部分（例如资源选择器、搜索和管理资源页面）中显示的资源。请注意，此限制条件仅在组织级别进行评估。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。constraints/resourcemanager.accessBoundaries |
"is:"、"under:" |
| Resource Manager | 跨组织移动时需要启用的服务许可清单 | 此列表限制条件的作用是检查启用了某项服务的项目是否可以进行跨组织移动。启用了某项受支持服务的资源必须强制执行此限制条件，并且必须在允许值中包含相应的受支持服务，才可进行跨组织移动。受支持服务当前的允许值列表如下：
此限制条件在 constraints/resourcemanager.allowedExportDestinations 之上提供了额外一层控制。此 list_constraint 默认为空，且不会阻止跨组织移动，除非针对要导出的资源启用了某项受支持服务。在将资源移至另一个组织的过程中，此限制条件允许对那些使用需要更加谨慎的特征的资源进行更精细的控制。默认情况下，无法在组织间移动启用了某项受支持服务的资源。 constraints/resourcemanager.allowEnabledServicesForExport |
"is:" |
| Resource Manager | 允许的资源导出目的地 | 此列表限制条件指定了一组可将资源移至其中的外部组织，并拒绝所有将资源移至其他所有组织的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，相应资源只能移至此限制条件明确允许的组织中。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。constraints/resourcemanager.allowedExportDestinations |
"is:"、"under:" |
| Resource Manager | 允许的资源导入来源 | 此列表限制条件指定了一组可作为资源导入来源的外部组织，并拒绝所有从其他所有组织导入资源的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，此限制条件必须明确允许在此资源下直接导入的资源。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。constraints/resourcemanager.allowedImportSources |
"is:"、"under:" |
| Cloud Run | 允许的 Binary Authorization 政策 (Cloud Run) | 此列表限制条件定义了一组可以针对 Cloud Run 资源指定的 Binary Authorization 政策名称。如需允许/禁止默认政策，请使用值“default”。如需允许/禁止一项或多项自定义平台政策，您必须单独添加每项此类政策的资源 ID。constraints/run.allowedBinaryAuthorizationPolicies |
"is:" |
| Cloud Run | 允许的入站流量设置 (Cloud Run) | 此列表限制条件定义了 Cloud Run 服务可以使用的入站流量设置。如果实施了此限制条件，服务必须具有与某个允许的值匹配的入站流量设置。入站流量设置违反此限制条件的现有 Cloud Run 服务可以继续更新，直到相应服务的入站流量设置更改为符合此限制条件为止。服务一旦符合此限制条件，就只能使用此限制条件允许的入站流量设置。 默认情况下，Cloud Run 服务可以使用任何入站流量设置。 允许的列表必须包含支持的入站流量设置值，包括 all、internal 和 internal-and-cloud-load-balancing。constraints/run.allowedIngress |
"is:" |
| Cloud Run | 允许的 VPC 出站流量设置 (Cloud Run) | 此列表限制条件定义了可以针对 Cloud Run 资源指定的允许 VPC 出站流量设置。如果强制执行此限制条件，则部署 Cloud Run 资源时必须使用无服务器 VPC 访问通道连接器或启用直接 VPC 出站流量，并且 VPC 出站流量设置必须与允许值之一相匹配。 默认情况下，Cloud Run 资源可以将 VPC 出站流量设置设为任何支持的值。 许可名单必须包含支持的 VPC 出站流量设置值，包括 private-ranges-only 和 all-traffic。对于现有的 Cloud Run 服务，所有新的修订版本都必须遵守这一限制条件。如果现有服务用于处理流量的修订版本违反此限制条件，仍可以继续将流量迁移到违反此限制条件的修订版本。在服务的所有流量都由符合此限制条件的修订版本处理后，所有后续流量迁移都只能将流量迁移到符合此限制条件的修订版本。 constraints/run.allowedVPCEgress |
"is:" |
| 服务使用者管理 | 停用默认服务账号的自动 IAM 授权 | 强制执行此布尔值限制条件后，当创建账号时，在项目中创建的默认 App Engine 和 Compute Engine 服务账号将无法自动获得项目的任何 IAM 角色。 默认情况下，这些服务账号在创建后会自动获得 Editor 角色。 constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
"is:" |
| Cloud Spanner | 为合规性工作负载启用高级服务控制 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，可支持性的某些方面将受到损害，预配的资源将严格遵守 Assured Workloads 的高级主权要求。此政策将应用于现有项目，但不会影响已预配的资源；也就是说，对此政策的修改只会体现在政策修改后创建的资源中。constraints/spanner.assuredWorkloadsAdvancedServiceControls |
"is:" |
| Cloud Spanner | 在未选择位置时停用 Cloud Spanner 多区域 | 请勿配置或修改此政策。此限制条件是在 Assured Workloads 初始配置过程中自动配置的，仅用于对 Assured Workloads 进行高级监管控制。强制执行此布尔值限制条件时，系统会禁止使用多区域实例配置创建 Spanner 实例，除非选择了某个位置。Cloud Spanner 目前尚不支持选择位置，因此将不允许选择任何多区域。今后，Spanner 将向用户提供为多区域选择位置的功能。此限制条件的实施不具有可追溯性。已创建的 Spanner 实例将不受影响。constraints/spanner.disableMultiRegionInstanceIfNoLocationSelected |
"is:" |
| Cloud Storage | Google Cloud Platform - 详细的审核日志模式 | 强制执行详细的审核日志模式时，请求和响应都会包含在 Cloud Audit Logs 中。对此功能进行的更改最多可能需要 10 分钟才会生效。在寻求满足 SEC 规则 17a-4(f)、CFTC 规则 1.31(c)-(d) 和 FINRA 规则 4511(c) 等合规性要求时，强烈建议将此组织政策与存储桶锁定搭配使用。目前，仅 Cloud Storage 支持此政策。constraints/gcp.detailedAuditLoggingMode |
"is:" |
| Cloud Storage | 强制执行禁止公开访问设置 | 通过强制执行禁止公开访问的措施，让您的 Cloud Storage 数据免遭公开泄露。此治理政策通过停用和阻止向 allUsers 和 allAuthenticatedUsers 授予访问权限的 ACL 和 IAM 权限，防止通过公共互联网访问现有和未来的资源。对整个组织（推荐）、特定项目或特定文件夹强制执行此政策，以确保数据不会公开泄露。此政策会覆盖现有的公共权限。启用此政策后，系统将撤消现有存储桶和对象的公共访问权限。如需详细了解对或不对资源强制执行此限制条件所产生的影响，请参阅 https://cloud.google.com/storage/docs/public-access-prevention。 constraints/storage.publicAccessPrevention |
"is:" |
| Cloud Storage | Cloud Storage - 限制身份验证类型 | 此限制条件定义了一组将无法访问 Cloud Storage 中组织下的任何存储资源的身份验证类型。支持的值包括 USER_ACCOUNT_HMAC_SIGNED_REQUESTS 和 SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS。使用 in:ALL_HMAC_SIGNED_REQUESTS 即可同时包含二者。constraints/storage.restrictAuthTypes |
"is:" 和 "in:" |
| Cloud Storage | 保留政策时长（秒） | 此列表限制条件定义了可针对 Cloud Storage 存储分区设置的一组保留政策时长。 默认情况下，如果未指定任何组织政策，Cloud Storage 存储分区的保留政策将没有任何时长限制。 允许的时长列表必须指定为大于零的正整数值，并以秒作为保留政策时长的时间单位。 对组织资源中的存储分区执行的任何插入、更新或修补操作都必须具有与此限制条件一致的保留政策时长。 实施此限制条件不会影响先前的操作。也就是说，在强制执行新的组织政策后，现有存储桶的保留政策将保持不变并继续有效。 constraints/storage.retentionPolicySeconds |
"is:" |
| Cloud Storage | 限制未加密的 HTTP 访问 | 强制执行此布尔值限制条件时，系统会明确拒绝通过 HTTP（未加密）访问所有存储资源。默认情况下，Cloud Storage XML API 允许未加密的 HTTP 访问。请注意，Cloud Storage JSON API、gRPC 和 Cloud 控制台只允许对 Cloud Storage 资源进行加密 HTTP 访问。constraints/storage.secureHttpTransport |
"is:" |
| Cloud Storage | Cloud Storage - 软删除政策保留时长（以秒为单位） | 此限制条件定义了对 Cloud Storage 存储桶强制执行此限制条件后，针对相应存储桶设置的软删除政策会允许多久的保留时长。对被强制执行此限制条件的存储桶进行的任何插入、更新或修补操作都必须具有与该限制条件一致的软删除政策时长。也就是说，在强制执行新的组织政策后，现有存储桶的软删除政策将保持不变并继续有效。默认情况下，如果未指定任何组织政策，Cloud Storage 存储桶的软删除政策保留时长可以是任意值。constraints/storage.softDeletePolicySeconds |
"is:" |
| Cloud Storage | 实施统一存储分区级访问权限 | 此布尔值限制条件设置为 True 时，存储分区必须使用统一的存储分区级访问权限。组织资源中的所有新存储分区都必须启用统一的存储分区级访问权限，并且组织资源中的任何存储分区都不得停用统一的存储分区级访问权限。实施此限制条件不会影响先前的操作；也就是说，已停用统一的存储分区级访问权限的现有存储分区将继续停用该权限。此限制条件的默认值为 False。统一的存储分区级访问权限会禁止评估分配给该存储分区中的 Cloud Storage 对象的 ACL。因此，只有 IAM 政策会授予对这些存储分区中对象的访问权限。 constraints/storage.uniformBucketLevelAccess |
"is:" |
方法指南
如需详细了解如何使用各个限制条件：
| 限制条件 | 方法指南 |
|---|---|
constraints/cloudbuild.allowedIntegrations |
门限基于组织政策 |
constraints/cloudfunctions.allowedIngressSettings |
使用 VPC Service Controls |
constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
使用 VPC Service Controls |
constraints/cloudfunctions.requireVPCConnector |
使用 VPC Service Controls |
constraints/gcp.restrictNonCmekServices |
CMEK 组织政策 |
constraints/gcp.restrictCmekCryptoKeyProjects |
CMEK 组织政策 |
constraints/gcp.restrictTLSVersion |
限制 TLS 版本 |
constraints/compute.restrictPrivateServiceConnectConsumerconstraints/compute.restrictPrivateServiceConnectProducer |
管理 Private Service Connect 使用方的安全性 |
constraints/compute.restrictCloudNATUsage |
限制 Cloud NAT 用量 |
constraints/compute.restrictLoadBalancerCreationForTypes |
Cloud Load Balancing 限制条件 |
constraints/compute.restrictProtocolForwardingCreationForTypes |
协议转发限制条件 |
constraints/compute.restrictDedicatedInterconnectUsageconstraints/compute.restrictPartnerInterconnectUsage |
限制 Cloud Interconnect 用量 |
constraints/compute.restrictVpnPeerIPs |
通过 Cloud VPN 隧道限制对等 IP 地址 |
constraints/compute.trustedImageProjects |
限制对映像的访问 |
constraints/compute.vmExternalIpAccess |
停用虚拟机的外部 IP 访问权限 |
constraints/compute.requireVpcFlowLogs |
VPC 流日志的组织政策限制条件 |
constraints/dataform.restrictGitRemotes |
限制远程代码库 |
constraints/gcp.restrictServiceUsage |
限制资源使用 |
constraints/iam.allowedPolicyMemberDomains |
按网域限制身份 |
constraints/iam.allowServiceAccountCredentialLifetimeExtension |
延长 OAuth 2.0 访问令牌的生命周期 |
constraints/iam.disableCrossProjectServiceAccountUsage |
将服务账号附加到其他项目中的资源 |
constraints/iam.disableServiceAccountCreation |
限制服务账号的创建 |
constraints/iam.disableServiceAccountKeyCreation |
限制服务账号密钥的创建 |
constraints/iam.disableServiceAccountKeyUpload |
限制服务账号密钥上传功能 |
constraints/iam.disableWorkloadIdentityClusterCreation |
限制工作负载身份集群创建功能 |
constraints/iam.restrictCrossProjectServiceAccountLienRemoval |
将服务账号附加到其他项目中的资源 |
constraints/gcp.detailedAuditLoggingModeconstraints/storage.retentionPolicySecondsconstraints/storage.uniformBucketLevelAccessconstraints/storage.publicAccessPrevention |
Cloud Storage 的组织政策限制 |
constraints/gcp.disableCloudLogging |
停用 Cloud Logging |
constraints/gcp.resourceLocations |
限制资源位置 |
constraints/resourcemanager.accessBoundaries |
限制用户可以看到的项目 |
constraints/run.allowedIngress |
使用 VPC Service Controls |
constraints/run.allowedVPCEgress |
使用 VPC Service Controls |
constraints/constraints/vertexai.allowedModels |
控制对 Model Garden 模型的访问权限 |
了解详情
如需详细了解组织政策的核心概念：
阅读组织政策概览。
了解什么是限制条件。
阅读如何使用限制条件创建组织政策。
了解分层评估的工作原理。