使用可能な制約
次の制約を使用するポリシーを指定できます。
複数の Google Cloud サービスでサポートされる制約
| 制約 | 説明 | サポートされている接頭辞 |
|---|---|---|
| 許可されたワーカープール（Cloud Build） | このリスト型制約は、Cloud Build を使用してビルドを実行するための許可された Cloud Build ワーカープールのセットを定義します。この制約が適用されると、許可された値のいずれかに一致するワーカープールでビルドすることが要求されます。 デフォルトでは、Cloud Build はすべてのワーカープールを使用できます。 ワーカープールの許可リストの形式は、
constraints/cloudbuild.allowedWorkerPools |
"is:"、"under:" |
| Google Cloud Platform - リソース ロケーションの制限 | このリスト型制約は、ロケーション ベースの GCP リソースを作成できる一連のロケーションを定義します。 デフォルトでは、任意のロケーションにリソースを作成できます。 この制約に関するポリシーでは、許可または拒否するロケーションとして、 asia や europe などのマルチリージョン、us-east1 や europe-west1 などのリージョンを指定できます。マルチリージョンを許可または拒否しても、それらに含まれるすべてのサブロケーションまで許可または拒否されることにはなりません。たとえば、ポリシーで us マルチリージョン（一部のストレージ サービスなどのマルチリージョン リソースを指す）が拒否されていても、リージョン ロケーション us-east1 には依然としてリソースを作成できます。一方、in:us-locations グループは us リージョン内のすべてのロケーションを含み、すべてのリージョンをブロックするために使用できます。値グループを使用してポリシーを定義することをおすすめします。 値グループ（リソースのロケーションを簡単に定義できるようにするために Google によってキュレートされた、ロケーションのコレクション）を指定できます。組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加し、その後に値グループを配置します。たとえば、米国内にのみ存在するリソースを作成するには、使用可能な値のリストに in:us-locations を設定します。ロケーション ポリシーで suggested_value フィールドが使用されている場合は、リージョンを設定する必要があります。指定した値がリージョンの場合は、ゾーンリソースの UI にこのリージョン内のすべてのゾーンが事前に入力されます。constraints/gcp.resourceLocations |
"is:"、"in:" |
| CMEK 用の KMS CryptoKey を提供できるプロジェクトを制限する | このリスト型制約は、リソースの作成時に顧客管理の暗号鍵（CMEK）を提供するために使用できるプロジェクトを定義します。この制約を [Allow] に設定した場合（これらのプロジェクトからの CMEK 鍵のみを許可する場合）、他のプロジェクトの CMEK 鍵を使用して、新規に作成されるリソースを保護できなくなります。この制約の値は、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。この制約を適用するサポート対象のサービスは次のとおりです。
DenyまたはDeny All] に設定することはできません。この制約が遡って適用されることはありません。許可されていないプロジェクトからの KMS CryptoKey を持つ既存の CMEK Google Cloud リソースは、手動で再構成または再作成して、この制約を適用する必要があります。constraints/gcp.restrictCmekCryptoKeyProjects |
"is:"、"under:" |
| CMEK を使用せずにリソースを作成できるサービスを制限する | このリスト型制約は、顧客管理の暗号鍵（CMEK）を必要とするサービスを定義します。この制約を Deny に設定した場合（CMEK を使用しないリソース作成を認めない場合）、指定するサービスでは、新規に作成されるリソースを CMEK 鍵で保護する必要があります。この制約で設定できるサポート対象のサービスは次のとおりです。
Deny All] に設定することはできません。この制約を [Allow] に設定することはできません。この制約が遡って適用されることはありません。CMEK がない既存の Google Cloud リソースは、手動で再構成または再作成して、この制約を適用する必要があります。constraints/gcp.restrictNonCmekServices |
"is:" |
| リソース サービスの使用を制限する | この制約は、組織、フォルダ、プロジェクト内で使用できる一連の Google Cloud リソース サービス（compute.googleapis.com や storage.googleapis.com など）を定義します。 デフォルトでは、すべての Google Cloud リソース サービスが許可されています。 詳しくは、https://cloud.google.com/resource-manager/help/organization-policy/restricting-resources をご覧ください。 constraints/gcp.restrictServiceUsage |
"is:" |
| サービス アカウント キーの作成を無効化 | このブール型制約を True に設定すると、サービス アカウントの外部キーの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントの外部キーを作成できます。 constraints/iam.disableServiceAccountKeyCreation |
"is:" |
| リージョン リソースでの Identity-Aware Proxy（IAP）の有効化を無効にする | このブール型制約を適用すると、リージョン リソースで Identity-Aware Proxy を有効にできなくなります。グローバル リソースでの IAP の有効化は、この制約で制限されることはありません。 デフォルトでは、リージョン リソースで IAP を有効にすることができます。 constraints/iap.requireRegionalIapWebDisabled |
"is:" |
| 許可される Google Cloud API とサービスを制限する | このリスト型制約は、このリソースで有効にできるサービスと、そのサービスの API を制限します。デフォルトでは、すべてのサービスが許可されます。 サービスの拒否リストは、以下のリストから指定する必要があります。現在、この制約を介した API を明示的に有効にすることはできません。このリストにない API を指定すると、エラーが発生します。 この制約が遡って適用されることはありません。この制約が適用された時点でサービスがリソース上ですでに有効になっている場合、サービスは有効のままです。 constraints/serviceuser.services |
"is:" |
特定のサービスの制約
| サービス | 制約 | 説明 | サポートされている接頭辞 |
|---|---|---|---|
| App Engine | ソースコードのダウンロードを無効にする | 以前に App Engine にアップロードされたソースコードのダウンロードを無効にします。constraints/appengine.disableCodeDownload |
"is:" |
| BigQuery | BigQuery Omni for Cloud AWS を無効にする | このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Amazon Web Services 上のデータを BigQuery Omni で処理できなくなります。constraints/bigquery.disableBQOmniAWS |
"is:" |
| BigQuery | BigQuery Omni for Cloud Azure を無効にする | このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Microsoft Azure で BigQuery Omni を使用してデータを処理できなくなります。constraints/bigquery.disableBQOmniAzure |
"is:" |
| Cloud Build | 許可された統合（Cloud Build） | このリスト型制約は、GCP 外のサービスから Webhook の受信を介してビルドを実行するための許可された Cloud Build の統合を定義します。この制約が適用されると、許可された値のいずれかにホストが一致するサービスの Webhook のみが処理されます。 デフォルトでは、Cloud Build はアクティブなトリガーが 1 つ以上あるプロジェクトのすべての Webhook を処理します。 constraints/cloudbuild.allowedIntegrations |
"is:" |
| Cloud Deploy | Cloud Deploy サービスラベルを無効にする | このブール型制約が適用されると、Cloud Deploy はデプロイされるオブジェクトに対して Cloud Deploy 識別子ラベルを追加しなくなります。 デフォルトでは、リリースの作成時にデプロイされるオブジェクトに対して、Cloud Deploy リソースを識別するラベルが追加されます。 constraints/clouddeploy.disableServiceLabelGeneration |
"is:" |
| Cloud Functions | 許可される上り（内向き）設定（Cloud Functions） | このリスト制約は、クラウド機能のデプロイについて許可される Ingress の設定を定義します。この制約が適用される場合、許可された値のいずれかに一致する Ingress の設定が関数に必要です。 デフォルトでは、Cloud Functions は任意の上り（内向き）設定を使用できます。 上り（内向き）設定は、 IngressSettings 列挙型の値を使用して許可リストで指定する必要があります。constraints/cloudfunctions.allowedIngressSettings |
"is:" |
| Cloud Functions | 許可される VPC コネクタの下り（外向き）設定（Cloud Functions） | このリスト制約は、Cloud Functions のデプロイに許可される VPC コネクタ出力設定を定義します。この制約が適用されると、Cloud Functions には許可された値の 1 つに一致する VPC コネクタ出力設定が必要になります。 デフォルトでは、Cloud Functions はすべての VPC コネクタの下り（外向き）設定を使用できます。 VPC コネクタの下り（外向き）設定は、 VpcConnectorEgressSettings 列挙型の値を使用して許可リストで指定する必要があります。constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
"is:" |
| Cloud Functions | VPC コネクタが必須（Cloud Functions） | このブール値制約により、Cloud Functions の関数をデプロイするときに VPC コネクタの設定が適用されます。この制約が適用されると、Cloud Functions は VPC コネクタを指定する必要があります。 デフォルトでは、VPC コネクタを指定するのに Cloud Functions の関数をデプロイする必要はありません。 constraints/cloudfunctions.requireVPCConnector |
"is:" |
| Cloud KMS | 作成できる KMS CryptoKey のタイプを制限します。 | このリスト型制約は、特定の階層ノードの下に作成できる Cloud KMS 鍵タイプを定義します。この制約が適用されると、この組織のポリシー内に指定された KMS 鍵タイプのみを、関連する階層ノード内に作成できます。この組織のポリシーを設定すると、インポート ジョブと鍵バージョンの保護レベルにも影響があります。デフォルトでは、すべての鍵タイプが許可されます。指定できる値は SOFTWARE、HSM、EXTERNAL、EXTERNAL_VPC です。拒否ポリシーは使用できません。constraints/cloudkms.allowedProtectionLevels |
"is:" |
| Cloud Scheduler | ジョブに対して許可されるターゲット タイプ | このリスト型制約は、Cloud Scheduler ジョブで許可されるターゲット タイプ（App Engine HTTP、HTTP、Pubsub など）のリストを定義します。 デフォルトでは、すべてのジョブ ターゲットが許可されます。 指定できる値は、 APPENGINE、HTTP、PUBSUB です。constraints/cloudscheduler.allowedTargetTypes |
"is:" |
| Cloud SQL | Cloud SQL インスタンスに対する承認済みネットワークを制限する | このブール型制約が True に設定されている Cloud SQL インスタンスへのプロキシを経由しないデータベース アクセスに関して、承認済みネットワークの追加が制限されます。この制約は遡って適用されません。承認済みネットワークがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。デフォルトでは、Cloud SQL インスタンスに承認済みネットワークを追加できます。 constraints/sql.restrictAuthorizedNetworks |
"is:" |
| Cloud SQL | Cloud SQL インスタンスに対するパブリック IP のアクセスを制限する | このブール型制約が True に設定されている Cloud SQL インスタンスに対するパブリック IP の構成が制限されます。この制約は遡って適用されません。パブリック IP アクセスがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。デフォルトでは、Cloud SQL インスタンスへのパブリック IP アクセスは許可されます。 constraints/sql.restrictPublicIp |
"is:" |
| Compute Engine | すべての IPv6 の使用を無効にする | このブール型制約を True に設定した場合、IPv6 の使用に関連するすべての Google Compute Engine リソースの作成または更新が無効になります。デフォル トでは、適切な Cloud IAM 権限を持つユーザーは誰でも、任意のプロジェクト、フォルダ、組織で IPv6 を使用する Google Compute Engine リソースを作成または更新できます。 この制約を設定すると、他の IPv6 に関連する組織制約（ disableVpcInternalIpv6、disableVpcExternalIpv6、disableHybridCloudIpv6 など）よりも優先順位が高くなります。constraints/compute.disableAllIpv6 |
"is:" |
| Compute Engine | Cloud Armor セキュリティ ポリシーの作成を無効にする | このブール型制約を適用すると、Cloud Armor セキュリティ ポリシーを作成できなくなります。 デフォルトでは、任意の組織、フォルダ、プロジェクトに Cloud Armor セキュリティ ポリシーを作成できます。 constraints/compute.disableGlobalCloudArmorPolicy |
"is:" |
| Compute Engine | グローバル ロード バランシングを無効にする | このブール型制約は、グローバル ロード バランシング サービスの作成を無効にします。これを適用すると、グローバルな依存関係のないリージョン ロード バランシング サービスのみを作成できます。デフォルトでは、グローバル ロード バランシングを作成できます。constraints/compute.disableGlobalLoadBalancing |
"is:" |
| Compute Engine | グローバル セルフマネージド SSL 証明書の作成を無効にする | このブール型制約を適用すると、グローバル セルフマネージド SSL 証明書を作成できなくなります。Google マネージド証明書またはリージョン セルフマネージド証明書の作成が、この制約によって無効になることはありません。 デフォルトでは、任意の組織、フォルダ、プロジェクトにグローバル セルフマネージド SSL 証明書を作成できます。 constraints/compute.disableGlobalSelfManagedSslCertificate |
"is:" |
| Compute Engine | VM シリアルポートへのグローバル アクセスを無効にする | このブール型制約により、制約が適用される組織、プロジェクト、フォルダに属する Compute Engine VM へのグローバル シリアルポート アクセスが無効になります。デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のグローバル・シリアルポート アクセスが無効になります。リージョンのシリアルポート アクセスは、この制約の影響を受けません。すべてのシリアルポート アクセスを無効にするには、代わりに compute.disableSerialPortAccess 制約を使用します。constraints/compute.disableGlobalSerialPortAccess |
"is:" |
| Compute Engine | Compute Engine メタデータのゲスト属性の無効化 | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM のゲスト属性への Compute Engine API アクセスが無効になります。デフォルトでは、Compute Engine API を使用して Compute Engine VM のゲスト属性にアクセスできます。 constraints/compute.disableGuestAttributesAccess |
"is:" |
| Compute Engine | ハイブリッド クラウド IPv6 の使用の無効化 | このブール型制約を True に設定すると、stack_type が IPV4_IPV6 の Cloud Router、Interconnect Attachments、Cloud VPN などのハイブリッド クラウド リソースの作成または更新が無効になります。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは、 stack_type が IPV4_IPV6 のハイブリッド クラウド リソースを任意のプロジェクト、フォルダ、組織で作成または更新できます。constraints/compute.disableHybridCloudIpv6 |
"is:" |
| Compute Engine | インターネット ネットワーク エンドポイント グループの無効化 | このブール型制約は、ユーザーが INTERNET_FQDN_PORT および INTERNET_IP_PORT の type でインターネット ネットワーク エンドポイント グループ（NEG）を作成できるかどうかを制限します。デフォルトでは、適切な IAM 権限を持つすべてのユーザーは、任意のプロジェクトでインターネット NEG を作成できます。 constraints/compute.disableInternetNetworkEndpointGroup |
"is:" |
| Compute Engine | VM のネストされた仮想化を無効にする | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属するすべての Compute Engine VM に対するハードウェア アクセラレーションによりネストされた仮想化は無効になります。デフォルトでは、Intel Haswell 以降の CPU プラットフォームで実行されているすべての Compute Engine VM に対して、ハードウェア アクセラレーションによりネストされた仮想化は許可されています。 constraints/compute.disableNestedVirtualization |
"is:" |
| Compute Engine | コンシューマ向け Private Service Connect の無効化 | このリスト型制約は、ユーザーが転送ルールを作成できない Private Service Connect エンドポイント タイプを定義します。この制約が適用されると、ユーザーはその Private Service Connect エンドポイント タイプに対する転送ルールを作成できなくなります。この制約が過去にさかのぼって適用されることはありません。 デフォルトでは、すべての Private Service Connect エンドポイント タイプに対して転送ルールを作成できます。 Private Service Connect エンドポイントの許可 / 拒否リストは、次のリストから指定する必要があります。
GOOGLE_APIS を使用すると、Google API にアクセスするための Private Service Connect 転送ルールの作成が制限されます。許可 / 拒否リストで SERVICE_PRODUCERS を使用すると、別の VPC ネットワーク内のサービスにアクセスするための Private Service Connect 転送ルールの作成が制限されます。constraints/compute.disablePrivateServiceConnectCreationForConsumers |
"is:" |
| Compute Engine | VM シリアルポート アクセスを無効にする | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM へのシリアルポート アクセスが無効になります。デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のシリアルポート アクセスが無効になります。 constraints/compute.disableSerialPortAccess |
"is:" |
| Compute Engine | Stackdriver への VM シリアルポート ロギングを無効化 | このブール型制約は、この制約が適用されている組織、プロジェクト、フォルダに属する Compute Engine VM から Stackdriver へのシリアルポート ロギングを無効にします。 デフォルトでは、Compute Engine VM のシリアルポート ロギングは無効になっており、メタデータ属性を使用して VM 単位またはプロジェクト単位で選択して有効にできます。この制約が適用されると、新しい VM が作成されるたびに、新しい Compute Engine VM に対するシリアルポート ロギングが無効になり、ユーザーは VM（旧または新）のメタデータ属性を True に変更できなくなります。シリアル ポート ロギングを無効にすると、それに依存する特定のサービス（GKE Autopilot など）が正しく機能しなくなるおそれがあります。この制約を適用する前に、プロジェクト内のプロダクトがシリアル ポート ロギングに依存していないことを確認してください。constraints/compute.disableSerialPortLogging |
"is:" |
| Compute Engine | ブラウザで SSH を無効にする | このブール型制約は、Cloud Console の「ブラウザでの SSH ツール」を無効にします。適用すると、ブラウザでの SSH ボタンは無効になります。デフォルトでは、ブラウザでの SSH ツールの使用が許可されています。constraints/compute.disableSshInBrowser |
"is:" |
| Compute Engine | VPC 外部 IPv6 の使用を無効にする | このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が EXTERNAL であるサブネットワークの作成または更新が無効になります。デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。constraints/compute.disableVpcExternalIpv6 |
"is:" |
| Compute Engine | VPC 内部 IPv6 使用を無効にする | このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が INTERNAL であるサブネットワークの作成または更新が無効になります。デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。constraints/compute.disableVpcInternalIpv6 |
"is:" |
| Compute Engine | OS ログインが必須 | このブール型制約を true に設定した場合、新しく作成したすべてのプロジェクトで OS ログインが有効になります。新しいプロジェクトのすべての VM インスタンスで OS ログインが有効になります。この制約は、新規および既存のプロジェクトについて、プロジェクトまたはインスタンス レベルで OS ログインが無効なメタデータが更新されるのを防ぎます。Compute Engine プロジェクトでは、OS Login 機能はデフォルトで無効になっています。 ノードプール バージョン 1.20.5-gke.2000 以降を実行している限定公開クラスタ内の GKE インスタンスは、OS Login をサポートしています。現在、一般公開クラスタ内の GKE インスタンスは OS Login をサポートしていません。一般公開クラスタを実行しているプロジェクトにこの制約が適用される場合、そのプロジェクトで実行される GKE インスタンスが正しく機能しない可能性があります。 constraints/compute.requireOsLogin |
"is:" |
| Compute Engine | Shielded VM | このブール型制約を True に設定した場合、すべての新しい Compute Engine VM インスタンスでは、セキュアブート、vTPM、整合性モニタリングのオプションが有効である Shielded ディスク イメージを使用する必要があります。必要に応じて、セキュアブートは作成後に無効にできます。既存の実行中のインスタンスは、引き続き通常どおり動作します。デフォルトでは、Compute Engine VM インスタンスを作成するために Shielded VM の機能を有効にする必要はありません。Shielded VM の機能により、VM には、検証可能な整合性と情報流出防止機能が追加されます。 constraints/compute.requireShieldedVm |
"is:" |
| Compute Engine | VPC フローログに対して、事前定義されたポリシーが必須 | このリスト型制約は、VPC フローログに対して適用できる、事前定義されたポリシーのセットを定義します。 デフォルトでは、各サブネットの任意の設定を使用して VPC フローログを構成できます。 この制約は、必要な最小限のサンプリング レートを使用して、スコープ内のすべてのサブネットワークのフローログを強制的に有効にします。 次の有効な値の中から 1 つまたは複数指定します。
constraints/compute.requireVpcFlowLogs |
"is:" |
| Compute Engine | Cloud NAT の使用制限 | このリスト型制約は、Cloud NAT の使用を許可するサブネットワークのセットを定義します。デフォルトでは、すべてのサブネットワークで Cloud NAT を使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictCloudNATUsage |
"is:"、"under:" |
| Compute Engine | Dedicated Interconnect の使用の制限 | このリスト型制約は、Dedicated Interconnect の使用を許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictDedicatedInterconnectUsage |
"is:"、"under:" |
| Compute Engine | ロードバランサの種類に基づいてロードバランサの作成を制限する | このリスト型制約は、組織、フォルダ、プロジェクトに対して作成可能な、一連のロードバランサのタイプを定義します。許可または拒否するすべてのロードバランサ タイプの一覧を明示的に指定する必要があります。デフォルトでは、すべての種類のロードバランサの作成が許可されています。 許可値または拒否値のリストは、ロードバランサの文字列名として識別される必要があります。また、次のリストにある値のみを含めることができます。
すべての内部または外部のロードバランサを含めるには、「in:」接頭辞に「INTERNAL」または「EXTERNAL」を続けて使用します。たとえば、「in:INTERNAL」を許可すると、上記のリストにある INTERNAL を含むすべてのロードバランサ タイプが許可されます。 constraints/compute.restrictLoadBalancerCreationForTypes |
"is:"、"in:" |
| Compute Engine | Confidential Computing 以外を制限する | このリスト型制約の拒否リストでは、Confidential Computing を有効にしてすべての新しいリソースを作成する必要がある一連のサービスを定義します。デフォルトでは、新しいリソースは Confidential Computing を使用する必要はありません。このリスト型制約の適用中は、リソースのライフサイクル全体で Confidential Computing を無効にすることはできません。既存のリソースは、引き続き通常どおり動作します。サービスの拒否リストは、API の文字列名として識別される必要があります。さらに、以下のリストにある明示的な拒否値のみを含めることができます。現在、API を明示的に許可する機能はサポートされていません。このリストにない API を明示的に拒否すると、エラーが発生します。サポートされている API のリスト: [compute.googleapis.com, container.googleapis.com] constraints/compute.restrictNonConfidentialComputing |
"is:" |
| Compute Engine | Partner Interconnect の使用の制限 | このリスト型制約は、Partner Interconnect の使用が許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictPartnerInterconnectUsage |
"is:"、"under:" |
| Compute Engine | IP アドレスの種類に基づいてプロトコル転送を制限する | このリスト型制約は、ユーザーが作成できるターゲット インスタンスを持つプロトコル転送ルール オブジェクトのタイプを定義します。この制約が適用される場合、ターゲット インスタンスを持つ新しい転送ルール オブジェクトは、指定されたタイプに基づいて、内部 IP アドレスまたは外部 IP アドレスに限定されます。許可または拒否するタイプは、明示的に指定する必要があります。デフォルトでは、ターゲット インスタンスで内部および外部プロトコル転送ルール オブジェクトの両方を作成できます。 許可または拒否される値のリストには、以下のリストの値のみを含めることができます。
constraints/compute.restrictProtocolForwardingCreationForTypes |
"is:" |
| Compute Engine | 共有 VPC バックエンド サービスを制限する | このリスト型制約は、適格リソースで使用できる一連の共有 VPC バックエンド サービスを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースは、すべての共有 VPC バックエンド サービスを使用できます。バックエンド サービスの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、projects/PROJECT_ID/regions/REGION/backendServices/BACKEND_SERVICE_NAME、または projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。constraints/compute.restrictSharedVpcBackendServices |
"is:"、"under:" |
| Compute Engine | 共有 VPC ホスト プロジェクトの制限 | このリスト型制約は、このリソースと同じ位置かその下にあるプロジェクトで接続先にできる、一連の共有 VPC ホスト プロジェクトを定義します。デフォルトでは、プロジェクトは同じ組織内の任意のホスト プロジェクトに接続して、サービス プロジェクトになることができます。許可リストまたは拒否リスト内のプロジェクト、フォルダ、組織は、リソース階層でそれらの下にあるすべてのオブジェクトに影響を及ぼします。また、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。constraints/compute.restrictSharedVpcHostProjects |
"is:"、"under:" |
| Compute Engine | 共有 VPC サブネットワークの制限 | このリスト型制約は、適格リソースで使用できる一連の共有 VPC サブネットワークを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースはすべての共有 VPC サブネットワークを使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME という形式で指定する必要があります。constraints/compute.restrictSharedVpcSubnetworks |
"is:"、"under:" |
| Compute Engine | VPC ピアリング使用量の制限 | このリスト型制約では、このプロジェクト、フォルダ、組織に属する VPC ネットワークとピアリングできる一連の VPC ネットワークを定義します。デフォルトでは、あるネットワークのネットワーク管理者は、他のすべてのネットワークとピアリングできます。ネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictVpcPeering |
"is:"、"under:" |
| Compute Engine | VPN ピア IP の制限 | このリスト型制約は、VPN ピア IP として構成できる一連の有効な IP-v4 アドレスを定義します。デフォルトでは、すべての IP を VPC ネットワークの VPN ピア IP にすることができます。IP アドレスの許可 / 拒否リストは、IP_V4_ADDRESS の形式で有効な IP-v4 アドレスとして指定する必要があります。constraints/compute.restrictVpnPeerIPs |
"is:" |
| Compute Engine | 新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定します | 「True」に設定すると、新しく作成したプロジェクトでゾーン DNS がデフォルトで使用されます。デフォルトではこの制約は「False」に設定され、新しく作成したプロジェクトでデフォルトの DNS タイプが使用されます。constraints/compute.setNewProjectDefaultToZonalDNSOnly |
"is:" |
| Compute Engine | 共有予約オーナー プロジェクト | このリスト型制約は、組織内で共有予約を作成および所有できる一連のプロジェクトを定義します。共有予約はローカルの予約に似ていますが、オーナー プロジェクト以外に、リソース階層にある他の Compute Engine プロジェクトからも使用可能であるという点が異なります。共有予約にアクセスをできるプロジェクトのリストは、projects/PROJECT_NUMBER または under:projects/PROJECT_NUMBER の形式にする必要があります。constraints/compute.sharedReservationsOwnerProjects |
"is:"、"under:" |
| Compute Engine | デフォルト ネットワークの作成をスキップ | このブール値制約を True に設定した場合、Google Cloud Platform プロジェクト リソースの作成時に、デフォルトのネットワークと関連リソースの作成がスキップされます。デフォルトでは、プロジェクトの作成時にデフォルトのネットワークと補助的リソースが自動的に作成されます。constraints/compute.skipDefaultNetworkCreation |
"is:" |
| Compute Engine | Compute ストレージ リソースの使用制限（Compute Engine のディスク、イメージ、スナップショット） | このリスト型制約は、Compute Engine のストレージ リソースの使用を許可される一連のプロジェクトを定義します。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは誰でも Compute Engine のリソースにアクセスできます。この制約を使用する場合、ユーザーには Cloud IAM のアクセス許可が必要であり、リソースへのアクセスが制約で制限されていてはなりません。 許可リストまたは拒否リストで指定するプロジェクト、フォルダ、組織は、 under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID の形式である必要があります。constraints/compute.storageResourceUseRestrictions |
"is:"、"under:" |
| Compute Engine | 信頼できるイメージ プロジェクトを定義する | このリスト型制約は、Compute Engine のイメージ保存やディスク インスタンス化に使用できる一連のプロジェクトを定義します。 デフォルトでは、イメージを公開で共有しているかユーザーと明示的に共有している任意のプロジェクト内のイメージから、インスタンスを作成できます。 パブリッシャー プロジェクトの許可リストまたは拒否リストは、 projects/PROJECT_ID の形式の文字列である必要があります。この制約がアクティブな場合は、信頼できるプロジェクト内のイメージのみが、新しいインスタンスのブートディスクのソースとして許可されます。constraints/compute.trustedImageProjects |
"is:" |
| Compute Engine | VM IP 転送の制限 | このリスト型制約は、IP 転送を有効にできる一連の VM インスタンスを定義します。デフォルトでは、すべての VM がすべての仮想ネットワークで IP 転送を有効にすることができます。VM インスタンスは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。constraints/compute.vmCanIpForward |
"is:"、"under:" |
| Compute Engine | VM インスタンス用に許可される外部 IP を定義する | このリスト型制約は、外部 IP アドレスの使用が許可されている一連の Compute Engine VM インスタンスを定義します。 デフォルトでは、すべての VM インスタンスで外部 IP アドレスの使用が許可されます。 VM インスタンスの許可リストまたは拒否リストは、 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE constraints/compute.vmExternalIpAccess という形式の VM インスタンス名で識別する必要があります。 |
"is:" |
| Compute Engine | グローバル リソースでの Identity-Aware Proxy（IAP）の有効化を無効にする | このブール型制約を適用すると、グローバル リソースで Identity-Aware Proxy を有効にできなくなります。リージョン リソースでの IAP の有効化は、この制約で制限されることはありません。 デフォルトでは、グローバル リソースで IAP を有効にすることができます。 constraints/iap.requireGlobalIapWebDisabled |
"is:" |
| Datastream | Datastream - パブリック接続方法のブロック | デフォルトでは、Datastream 接続プロファイルはパブリックまたはプライベート接続方法で作成できます。この組織ポリシーにブール型制約が適用される場合、接続プロファイルの作成に使用できるのはプライベート接続方法（VPC ピアリングなど）のみです。constraints/datastream.disablePublicConnectivity |
"is:" |
| 重要な連絡先 | ドメインで制限された連絡先 | このリスト型制約は、[重要な連絡先] に追加できるメールアドレスのドメインのセットを定義します。 デフォルトでは、すべてのドメインのメールアドレスを [重要な連絡先] に追加できます。 許可リストまたは拒否リストには、 @example.com という形式の 1 つまたは複数のドメインを指定する必要があります。この制約が有効で、許可されている値で構成されている場合、許可されたドメインのリスト内のいずれかのエントリとサフィックスが一致するメールアドレスのみが、Essential Contacts に追加されます。この制約は既存の連絡先の更新や削除には影響しません。 constraints/essentialcontacts.allowedContactDomains |
"is:" |
| 重要な連絡先 | プロジェクトのセキュリティの連絡先を無効にする | このブール型制約が適用されると、組織のポリシーの管理者が、組織レベルまたはフォルダレベルで割り当てられた連絡先のみがセキュリティ通知を受信できるようにします。具体的には、この制約を適用すると、連絡先にプロジェクト リソースも親として含まれている場合、プロジェクト オーナーと連絡先管理者は、SECURITY や ALL カテゴリを含む notification_category_subscriptions フィールドに重要な連絡先を作成、更新できなくなります。constraints/essentialcontacts.disableProjectSecurityContacts |
"is:" |
| Firestore | インポート / エクスポート用に必要な Firestore サービス エージェント | このブール型制約を適用する場合は、Firestore のインポートとエクスポートで Firestore サービス エージェントを使用する必要があります。 Firestore のインポートとエクスポートは、デフォルトで App Engine サービス アカウントを使用している場合があります。 今後、Firestore はインポートとエクスポートに App Engine サービス アカウントを使用しなくなり、すべてのアカウントが Firestore サービス エージェントに移行する必要があります。移行後は、この制約は不要になります。 constraints/firestore.requireP4SAforImportExport |
"is:" |
| Cloud Healthcare | Cloud Healthcare API の Cloud Logging を無効にする | このブール型制約を適用すると、Cloud Healthcare API の Cloud Logging が無効になります。 監査ログはこの制約の影響を受けません。 制約が適用される前に Cloud Healthcare API 向けに生成された Cloud ログは削除されず、引き続きアクセス可能です。 constraints/gcp.disableCloudLogging |
"is:" |
| Identity and Access Management | OAuth 2.0 アクセス トークンの存続期間を最大 12 時間延長することを許可する | このリスト型制約は、存続期間が最大 12 時間の OAuth 2.0 アクセス トークンを付与できる一連のサービス アカウントを定義します。デフォルトでは、これらのアクセス トークンの最大存続期間は 1 時間です。 サービス アカウントの許可リストまたは拒否リストには、1 つ以上のサービス アカウントのメールアドレスを指定する必要があります。 constraints/iam.allowServiceAccountCredentialLifetimeExtension |
"is:" |
| Identity and Access Management | ドメインで制限された共有 | このリスト型制約は、プリンシパルを IAM ポリシーに追加できる 1 つ以上の Cloud Identity または Google Workspace のお客様 ID を定義します。 デフォルトでは、すべてのユーザー ID を IAM ポリシーに追加できます。この制約では許可値のみを定義できます。拒否される値はサポートされていません。 この制約が有効な場合、許可された顧客 ID に属するプリンシパルのみを IAM ポリシーに追加できます。 constraints/iam.allowedPolicyMemberDomains |
"is:" |
| Identity and Access Management | Audit Logging の除外を無効にする | このブール型制約を適用すると、監査ログから追加のプリンシパルが除外されなくなります。この制約は、制約を適用する前に存在していた監査ログでの除外には影響しません。constraints/iam.disableAuditLoggingExemption |
"is:" |
| Identity and Access Management | プロジェクト間サービス アカウントの使用の無効化 | 適用した場合、サービス アカウントは、そのサービス アカウントと同じプロジェクトで実行中のジョブ（VM、関数など）にのみ（ServiceAccountUser ロールを使用して）デプロイできます。constraints/iam.disableCrossProjectServiceAccountUsage |
"is:" |
| Identity and Access Management | サービス アカウント作成の無効化 | このブール型制約が True に設定されている場合、サービス アカウントの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントを作成できます。 constraints/iam.disableServiceAccountCreation |
"is:" |
| Identity and Access Management | サービス アカウント キー アップロードの無効化 | このブール型制約が「True」に設定されているサービス アカウントに公開鍵をアップロードできるようにする機能は、このブール型制約により無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいて公開鍵をサービス アカウントにアップロードできます。 constraints/iam.disableServiceAccountKeyUpload |
"is:" |
| Identity and Access Management | Workload Identity クラスタ作成の無効化 | このブール型制約を True に設定した場合、すべての新しい GKE クラスタでは作成時に Workload Identity が無効である必要があります。Workload Identity がすでに有効である既存の GKE クラスタは、引き続き通常どおり動作します。デフォルトでは、すべての GKE クラスタに対して Workload Identity を有効にできます。constraints/iam.disableWorkloadIdentityClusterCreation |
"is:" |
| Identity and Access Management | Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント | Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント ID のリスト。constraints/iam.workloadIdentityPoolAwsAccounts |
"is:" |
| Identity and Access Management | Cloud IAM のワークロード向けに許可されている外部の ID プロバイダ | Cloud IAM 内のワークロード認証用に構成可能な ID プロバイダ。URI/URL により指定します。constraints/iam.workloadIdentityPoolProviders |
"is:" |
| Anthos Service Mesh マネージド コントロール プレーン。 | Anthos Service Mesh マネージド コントロール プレーンの許可済み VPC Service Controls モード | この制約によって、新しい Anthos Service Mesh マネージド コントロール プレーンのプロビジョニング時に設定できる VPC Service Controls モードが決まります。有効な値は「NONE」と「COMPATIBLE」です。constraints/meshconfig.allowedVpcscModes |
"is:" |
| Resource Manager | 共有 VPC プロジェクト リーエンの削除を制限 | このブール型制約を True に設定すると、組織レベルの権限なしで共有 VPC ホスト プロジェクト リーエンを削除できるユーザーが制限されます。デフォルトでは、リーエンの更新権限を持つすべてのユーザーに共有 VPC ホスト プロジェクト リーエンの削除が許可されます。この制約を適用するには、組織レベルで権限を付与する必要があります。 constraints/compute.restrictXpnProjectLienRemoval |
"is:" |
| Resource Manager | プロジェクト間サービス アカウントのリーエンの削除の制限 | このブール型制約が「適用」された場合、ユーザーは組織レベルの権限がなければ、プロジェクト間サービス アカウントのリーエンを削除できなくなります。デフォルトでは、リーエンの更新権限を持つすべてのユーザーがプロジェクト間サービス アカウントのリーエンを削除できます。この制約を適用するには、組織レベルで権限を付与する必要があります。constraints/iam.restrictCrossProjectServiceAccountLienRemoval |
"is:" |
| Resource Manager | リソースクエリの公開設定を制限する | このリスト型制約を組織リソースに適用すると、この制約が適用される組織のドメインのユーザーに関して、リスト取得と検索のメソッドで返される Google Cloud リソースのセットが定義されます。これを使用すると、リソース選択ツール、検索、[リソースの管理] ページなど、Cloud Console のさまざまな部分に表示されるリソースを制限できます。この制約は組織レベルのみで評価されます。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。constraints/resourcemanager.accessBoundaries |
"is:"、"under:" |
| Resource Manager | 組織間の移動には有効なサービスの許可リストが必要 | このリスト型制約は、サービスが有効になっているプロジェクトで組織間の移動が可能かどうかを確認するチェックとして機能します。サポートされているサービスが有効になっているリソースには、この制約を適用する必要があります。また、そのサポートされているサービスが、組織間での移動が可能となるよう、許可された値に含まれていることも必要です。サポートされている使用可能なサービス用に許可されている値の現在のリストは次のとおりです。
この制約により、constraints/resourcemanager.allowedExportDestinations をさらに制御できます。この list_constraint はデフォルトでは空であり、エクスポート対象のリソースでサポートされているサービスが有効になっていない限り、組織間の移動はブロックされません。この制約により、別の組織への移動の際に特に注意を要する機能を使用して、リソースを細かく制御できます。デフォルトでは、サポートされているサービスが有効になっているリソースは、組織間で移動できません。 constraints/resourcemanager.allowEnabledServicesForExport |
"is:" |
| Resource Manager | リソースのエクスポートが許可されている宛先 | このリスト型制約は、リソースを移動できる外部組織を定義し、他のすべての組織へのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用すると、そのリソースは制約で明示的に許可されている組織にのみ移動できます。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。constraints/resourcemanager.allowedExportDestinations |
"is:"、"under:" |
| Resource Manager | リソースのインポートを許可されている送信元 | このリスト型制約は、リソースのインポートが可能な外部組織を定義し、他のすべての組織からのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用する場合、このリソースで直接インポートしたリソースを、この制約で明示的に許可する必要があります。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。constraints/resourcemanager.allowedImportSources |
"is:"、"under:" |
| Cloud Run | 許可される Binary Authorization ポリシー（Cloud Run） | このリスト型制約は、Cloud Run リソースに指定できる Binary Authorization ポリシー名のセットを定義します。デフォルト ポリシーを許可または禁止するには、値「default」を使用します。1 つ以上のカスタム プラットフォームのポリシーを許可または禁止するには、そのような各ポリシーのリソース ID を個別に追加する必要があります。constraints/run.allowedBinaryAuthorizationPolicies |
"is:" |
| Cloud Run | 許可される上り（内向き）設定（Cloud Run） | このリスト型制約は、Cloud Run サービスに対して許可される上り（内向き）設定を定義します。この制約が適用されると、許可された値のいずれかに一致する上り（内向き）設定がサービスで必要になります。この制約に従わない上り（内向き）設定がある既存の Cloud Run サービスは、サービスの上り（内向き）設定がこの制約に従うように変更されるまで、引き続き更新できます。サービスがこの制約に従うようになると、サービスはこの制約で許可されている上り（内向き）設定のみを使用できます。 デフォルトでは、Cloud Run サービスは任意の上り（内向き）設定を使用できます。 許可リストには、サポートされている上り（内向き）設定値（ all、internal、internal-and-cloud-load-balancing）を含める必要があります。constraints/run.allowedIngress |
"is:" |
| Cloud Run | 許可される VPC 下り（外向き）設定（Cloud Run） | このリスト型制約は、Cloud Run サービスのリビジョンで許可される VPC 下り（外向き）設定を定義します。この制約が適用されると、サービスのリビジョンにサーバーレス VPC アクセス コネクタが必要になり、リビジョンの VPC 下り（外向き）設定が許可された値のいずれかに一致することが求められます。 既存のサービスの場合、新しくデプロイするリビジョンはすべて、この制約に従う必要があります。この制約に従わないトラフィックを処理するリビジョンの既存のサービスは、この制約に従わないリビジョンに引き続きトラフィックを移行できます。サービスのすべてのトラフィックが、この制約に従ったリビジョンによって処理されると、それ以降のトラフィックの移行では、この制約に従うリビジョンにのみトラフィックを移行する必要があります。 デフォルトでは、Cloud Run のリビジョンは VPC 下り（外向き）設定を、サポートされている任意の値に設定できます。 許可リストには、サポートされている VPC 下り（外向き）設定の値（ private-ranges-only と all-traffic）を含める必要があります。constraints/run.allowedVPCEgress |
"is:" |
| Service Consumer Management | デフォルトのサービス アカウントに対する IAM ロールの自動付与の無効化 | このブール型制約を適用すると、プロジェクトで作成されたデフォルト の App Engine サービス アカウントと Compute Engine サービス アカウントは、アカウント作成時にプロジェクトの IAM ロールを自動的に付与しなくなります。 デフォルトでは、これらのサービス アカウントには作成時に編集者のロールが自動的に付与されます。 constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
"is:" |
| Cloud Storage | Google Cloud Platform - 詳細な監査ロギングモード | 詳細な監査ロギングモードが適用されている場合は、リクエストとレスポンスの両方が Cloud Audit Logs に含まれます。この機能を変更すると、反映されるまで 10 分ほどかかることがあります。SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d)、FINRA Rule 4511(c) などのコンプライアンスが目標である場合は、この組織ポリシーをバケットロックと連携して使用することを強くおすすめします。現時点では、このポリシーは Cloud Storage のみでサポートされています。constraints/gcp.detailedAuditLoggingMode |
"is:" |
| Cloud Storage | 公開アクセスの防止を適用する | 公開アクセスの防止を適用して、Cloud Storage データが一般に公開されないようにします。このガバナンス ポリシーは、既存のリソースや将来のリソースが公共のインターネットを介してアクセスされないように、allUsers と allAuthenticatedUsers にアクセス権を付与する ACL と IAM 権限を無効にしてブロックします。組織全体（推奨）、特定のプロジェクト、特定のフォルダにこのポリシーを適用することによって、データが公開されないようにできます。このポリシーは、一般公開につながる既存の権限をオーバーライドします。このポリシーを有効にすると、既存のバケットとオブジェクトに対する公開アクセスが取り消されます。 constraints/storage.publicAccessPrevention |
"is:" |
| Cloud Storage | Cloud Storage - 認証タイプを制限する | この制約は、Cloud Storage で組織のストレージ リソースへのアクセスが制限される認証タイプを定義します。サポートされる値は、USER_ACCOUNT_HMAC_SIGNED_REQUESTS と SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS です。in:ALL_HMAC_SIGNED_REQUESTS を使用して、両方を含めます。constraints/storage.restrictAuthTypes |
"is:"、"in:" |
| Cloud Storage | 保持ポリシー期間（秒） | このリスト型制約は、Cloud Storage バケットに設定できる保持ポリシーの期間を定義します。 デフォルトでは、組織のポリシーが指定されない場合、任意の期間の保持ポリシーを Cloud Storage バケットに格納できます。 許可期間のリストは、保持ポリシーを秒単位で表す、0 より大きい正の整数値として指定される必要があります。 組織リソース内のバケットに対する挿入、更新、またはパッチ オペレーションには、制約と一致する保持ポリシー期間を設定する必要があります。 この制約は遡って適用されることはありません。新しい組織のポリシーが適用されても、既存のバケットの保持ポリシーは変更されず有効なままです。 constraints/storage.retentionPolicySeconds |
"is:" |
| Cloud Storage | 均一なバケットレベルのアクセスの適用 | このブール型制約を True に設定すると、バケットで、均一なバケットレベルのアクセスを使用することが必須となります。組織リソース内に新規作成するバケットでは、均一なバケットレベルのアクセスを有効にする必要があります。組織リソース内の既存バケットで、均一なバケットレベルのアクセスを無効にすることはできません。この制約は遡って適用されることはありません。均一なバケットレベルのアクセスが無効になっている既存のバケットでは、無効なままです。この制約のデフォルト値は False です。均一なバケットレベルのアクセスでは、バケット内の Cloud Storage オブジェクトに割り当てられた ACL の評価は無効になります。そのため、IAM ポリシーによってのみ、これらのバケット内のオブジェクトへのアクセス権が付与されます。 constraints/storage.uniformBucketLevelAccess |
"is:" |
入門ガイド
個別の制約を使用する方法については、以下をご覧ください。
| 制約 | 入門ガイド |
|---|---|
constraints/cloudbuild.allowedIntegrations |
外部サービスからトリガーされるビルドの制限 |
constraints/cloudfunctions.allowedIngressSettings |
VPC Service Controls を使用する |
constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
VPC Service Controls を使用する |
constraints/cloudfunctions.requireVPCConnector |
VPC Service Controls を使用する |
constraints/gcp.restrictNonCmekServices |
CMEK の組織のポリシー |
constraints/gcp.restrictCmekCryptoKeyProjects |
CMEK の組織のポリシー |
constraints/compute.restrictCloudNATUsage |
Cloud NAT の使用制限 |
constraints/compute.restrictLoadBalancerCreationForTypes |
Cloud Load Balancing の制約 |
constraints/compute.restrictProtocolForwardingCreationForTypes |
プロトコル転送の制約 |
constraints/compute.restrictDedicatedInterconnectUsageconstraints/compute.restrictPartnerInterconnectUsage |
Cloud Interconnect の使用の制限 |
constraints/compute.restrictVpnPeerIPs |
Cloud VPN トンネルを経由したピア IP アドレスの制限 |
constraints/compute.trustedImageProjects |
イメージへのアクセスの制限 |
constraints/compute.vmExternalIpAccess |
VM の外部 IP アクセスの無効化 |
constraints/compute.requireVpcFlowLogs |
VPC フローログの組織のポリシーに関する制約 |
constraints/gcp.restrictServiceUsage |
リソース使用量の制限 |
constraints/iam.allowedPolicyMemberDomains |
ドメイン別の ID の制限 |
constraints/iam.allowServiceAccountCredentialLifetimeExtension |
OAuth 2.0 アクセス トークンの存続時間を延長する |
constraints/iam.disableCrossProjectServiceAccountUsage |
サービス アカウントの別のプロジェクト内のリソースへのアタッチ |
constraints/iam.disableServiceAccountCreation |
サービス アカウントの作成の制限 |
constraints/iam.disableServiceAccountKeyCreation |
サービス アカウント キーの作成の制限 |
constraints/iam.disableServiceAccountKeyUpload |
サービス アカウント キーのアップロードを制限する |
constraints/iam.disableWorkloadIdentityClusterCreation |
Workload Identity クラスタの作成を制限する |
constraints/iam.restrictCrossProjectServiceAccountLienRemoval |
サービス アカウントの別のプロジェクト内のリソースへのアタッチ |
constraints/gcp.detailedAuditLoggingModeconstraints/storage.retentionPolicySecondsconstraints/storage.uniformBucketLevelAccessconstraints/storage.publicAccessPrevention |
Cloud Storage の組織のポリシーに関する制約 |
constraints/gcp.disableCloudLogging |
Cloud Logging を無効にする |
constraints/gcp.resourceLocations |
リソース ロケーションの制限 |
constraints/compute.restrictCloudNATUsage |
Cloud NAT の組織のポリシーに関する制約 |
constraints/resourcemanager.accessBoundaries |
ユーザーのプロジェクト公開設定の制限 |
constraints/run.allowedIngress |
VPC Service Controls を使用する |
constraints/run.allowedVPCEgress |
VPC Service Controls を使用する |
詳細
組織ポリシーの基本コンセプトの詳細については、以下をご覧ください。
組織ポリシーの概要を読む。
制約について読む。
組織ポリシーを作成して制約を使用する方法について読む。
階層評価の仕組みについて読む。