使用可能な制約
次の制約を使用するポリシーを指定できます。
複数の Google Cloud サービスでサポートされる制約
| 制約 | 説明 | サポートされている接頭辞 |
|---|---|---|
| Google Cloud Platform - リソース ロケーションの制限 | このリスト型制約は、ロケーション ベースの GCP リソースを作成できる一連のロケーションを定義します。 デフォルトでは、任意のロケーションにリソースを作成できます。 この制約に関するポリシーでは、許可または拒否するロケーションとして、 asia や europe などのマルチリージョン、us-east1 や europe-west1 などのリージョンを指定できます。マルチリージョンを許可または拒否しても、それらに含まれるすべてのサブロケーションまで許可または拒否されることにはなりません。たとえば、ポリシーで us マルチリージョン（一部のストレージ サービスなどのマルチリージョン リソースを指す）が拒否されていても、リージョン ロケーション us-east1 には依然としてリソースを作成できます。一方、in:us-locations グループは us リージョン内のすべてのロケーションを含み、すべてのリージョンをブロックするために使用できます。値グループを使用してポリシーを定義することをおすすめします。 値グループ（リソースのロケーションを簡単に定義できるようにするために Google によってキュレートされた、ロケーションのコレクション）を指定できます。組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加し、その後に値グループを配置します。たとえば、米国内にのみ存在するリソースを作成するには、使用可能な値のリストに in:us-locations を設定します。ロケーション ポリシーで suggested_value フィールドが使用されている場合は、リージョンを設定する必要があります。指定した値がリージョンの場合は、ゾーンリソースの UI にこのリージョン内のすべてのゾーンが事前に入力されます。 constraints/gcp.resourceLocations |
"is:"、"in:" |
| 許可される Google Cloud API とサービスを制限する | このリスト型制約は、このリソースで有効にできるサービスと、そのサービスの API を制限します。デフォルトでは、すべてのサービスが許可されます。 サービスの拒否リストは、以下のリストから指定する必要があります。現在、この制約を介した API を明示的に有効にすることはできません。このリストにない API を指定すると、エラーが発生します。
constraints/serviceuser.services |
"is:" |
特定のサービスの制約
| サービス | 制約 | 説明 | サポートされている接頭辞 |
|---|---|---|---|
| App Engine | ソースコードのダウンロードを無効にする | 以前に App Engine にアップロードされたソースコードのダウンロードを無効にします。constraints/appengine.disableCodeDownload |
"is:" |
| Cloud Functions | 許可される上り（内向き）設定（Cloud Functions） | このリスト制約は、クラウド機能のデプロイについて許可される Ingress の設定を定義します。この制約が適用される場合、許可された値のいずれかに一致する Ingress の設定が関数に必要です。 デフォルトでは、Cloud Functions は任意の上り（内向き）設定を使用できます。 上り（内向き）設定は、 IngressSettings 列挙型の値を使用して許可リストで指定する必要があります。constraints/cloudfunctions.allowedIngressSettings |
"is:" |
| Cloud Functions | 許可される VPC コネクタの下り（外向き）設定（Cloud Functions） | このリスト制約は、Cloud Functions のデプロイに許可される VPC コネクタ出力設定を定義します。この制約が適用されると、Cloud Functions には許可された値の 1 つに一致する VPC コネクタ出力設定が必要になります。 デフォルトでは、Cloud Functions はすべての VPC コネクタの下り（外向き）設定を使用できます。 VPC コネクタの下り（外向き）設定は、 VpcConnectorEgressSettings 列挙型の値を使用して許可リストで指定する必要があります。constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
"is:" |
| Cloud Functions | VPC コネクタが必須（Cloud Functions） | このブール値制約により、Cloud Functions の関数をデプロイするときに VPC コネクタの設定が適用されます。この制約が適用されると、Cloud Functions は VPC コネクタを指定する必要があります。 デフォルトでは、VPC コネクタを指定するのに Cloud Functions の関数をデプロイする必要はありません。 constraints/cloudfunctions.requireVPCConnector |
"is:" |
| Cloud SQL | Cloud SQL インスタンスにおいて、デフォルトの Google が管理する暗号化の使用を制限する | ベータ版: このブール値定数を True に設定すると、新規作成、再起動、更新されるすべての Cloud SQL インスタンスで顧客管理の暗号鍵（CMEK）の使用が必須になります。この設定は、遡って適用されることはありません。つまり、Google が管理する暗号を使用している既存のインスタンスは、更新されない限り影響を受けません。この定数のデフォルトは False であり、Google が管理する暗号を Cloud SQL インスタンスで使用できます。constraints/sql.disableDefaultEncryptionCreation |
"is:" |
| Cloud SQL | Cloud SQL インスタンスに対する承認済みネットワークを制限する | このブール型制約が True に設定されている Cloud SQL インスタンスへのプロキシを経由しないデータベース アクセスに関して、承認済みネットワークの追加が制限されます。この制約は遡って適用されません。承認済みネットワークがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。デフォルトでは、Cloud SQL インスタンスに承認済みネットワークを追加できます。 constraints/sql.restrictAuthorizedNetworks |
"is:" |
| Cloud SQL | Cloud SQL インスタンスに対するパブリック IP のアクセスを制限する | このブール型制約が True に設定されている Cloud SQL インスタンスに対するパブリック IP の構成が制限されます。この制約は遡って適用されません。パブリック IP アクセスがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。デフォルトでは、Cloud SQL インスタンスへのパブリック IP アクセスは許可されます。 constraints/sql.restrictPublicIp |
"is:" |
| Compute Engine | Compute Engine メタデータのゲスト属性の無効化 | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM のゲスト属性への Compute Engine API アクセスが無効になります。デフォルトでは、Compute Engine API を使用して Compute Engine VM のゲスト属性にアクセスできます。 constraints/compute.disableGuestAttributesAccess |
"is:" |
| Compute Engine | インターネット ネットワーク エンドポイント グループの無効化 | このブール型制約は、ユーザーが INTERNET_FQDN_PORT および INTERNET_IP_PORT の type でインターネット ネットワーク エンドポイント グループ（NEG）を作成できるかどうかを制限します。デフォルトでは、適切な IAM 権限を持つすべてのユーザーは、任意のプロジェクトでインターネット NEG を作成できます。 constraints/compute.disableInternetNetworkEndpointGroup |
"is:" |
| Compute Engine | VM のネストされた仮想化を無効にする | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属するすべての Compute Engine VM に対するハードウェア アクセラレーションによりネストされた仮想化は無効になります。デフォルトでは、Intel Haswell 以降の CPU プラットフォームで実行されているすべての Compute Engine VM に対して、ハードウェア アクセラレーションによりネストされた仮想化は許可されています。 constraints/compute.disableNestedVirtualization |
"is:" |
| Compute Engine | コンシューマ向け Private Service Connect の無効化 | このリスト型制約は、ユーザーが転送ルールを作成できない Private Service Connect エンドポイント タイプを定義します。この制約が適用されると、ユーザーはその Private Service Connect エンドポイント タイプに対する転送ルールを作成できなくなります。この制約が過去にさかのぼって適用されることはありません。 デフォルトでは、すべての Private Service Connect エンドポイント タイプに対して転送ルールを作成できます。 Private Service Connect エンドポイントの許可 / 拒否リストは、次のリストから指定する必要があります。
GOOGLE_APIS を使用すると、Google API にアクセスするための Private Service Connect 転送ルールの作成が制限されます。許可 / 拒否リストで SERVICE_PRODUCERS を使用すると、別の VPC ネットワーク内のサービスにアクセスするための Private Service Connect 転送ルールの作成が制限されます。constraints/compute.disablePrivateServiceConnectCreationForConsumers |
"is:" |
| Compute Engine | VM シリアルポート アクセスを無効にする | このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM へのシリアルポート アクセスが無効になります。デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のシリアルポート アクセスが無効になります。 constraints/compute.disableSerialPortAccess |
"is:" |
| Compute Engine | Stackdriver への VM シリアルポート ロギングを無効化 | このブール型制約は、この制約が適用されている組織、プロジェクト、フォルダに属する Compute Engine VM から Stackdriver へのシリアルポート ロギングを無効にします。 デフォルトでは、Compute Engine VM のシリアルポート ロギングは無効になっており、メタデータ属性を使用して VM 単位またはプロジェクト単位で選択して有効にできます。この制約が適用されると、新しい VM が作成されるたびに、新しい Compute Engine VM に対するシリアルポート ロギングが無効になり、ユーザーは VM（旧または新）のメタデータ属性を True に変更できなくなります。constraints/compute.disableSerialPortLogging |
"is:" |
| Compute Engine | OS ログインが必須 | このブール型制約を true に設定した場合、新しく作成したすべてのプロジェクトで OS ログインが有効になります。新しいプロジェクトのすべての VM インスタンスで OS ログインが有効になります。この制約は、新規および既存のプロジェクトについて、プロジェクトまたはインスタンス レベルで OS ログインが無効なメタデータが更新されるのを防ぎます。Compute Engine プロジェクトでは、OS ログイン機能はデフォルトで無効になっています。 GKE インスタンスは現在 OS ログインをサポートしていません。この制約をプロジェクトに適用すると、そのプロジェクトで実行中の GKE インスタンスが適切に機能しない場合があります。 constraints/compute.requireOsLogin |
"is:" |
| Compute Engine | Shielded VM | このブール型制約を True に設定した場合、すべての新しい Compute Engine VM インスタンスでは、セキュアブート、vTPM、整合性モニタリングのオプションが有効である Shielded ディスク イメージを使用する必要があります。必要に応じて、セキュアブートは作成後に無効にできます。既存の実行中のインスタンスは、引き続き通常どおり動作します。デフォルトでは、Compute Engine VM インスタンスを作成するために Shielded VM の機能を有効にする必要はありません。Shielded VM の機能により、VM には、検証可能な整合性と情報流出防止機能が追加されます。 constraints/compute.requireShieldedVm |
"is:" |
| Compute Engine | Cloud NAT の使用制限 | このリスト型制約は、Cloud NAT の使用を許可するサブネットワークのセットを定義します。デフォルトでは、すべてのサブネットワークで Cloud NAT を使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictCloudNATUsage |
"is:"、"under:" |
| Compute Engine | Dedicated Interconnect の使用の制限 | このリスト型制約は、Dedicated Interconnect の使用を許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictDedicatedInterconnectUsage |
"is:"、"under:" |
| Compute Engine | ロードバランサの種類に基づいてロードバランサの作成を制限する | このリスト型制約は、組織、フォルダ、プロジェクトに対して作成可能な、一連のロードバランサのタイプを定義します。許可または拒否するすべてのロードバランサ タイプの一覧を明示的に指定する必要があります。デフォルトでは、すべての種類のロードバランサの作成が許可されています。 許可値または拒否値のリストは、ロードバランサの文字列名として識別される必要があります。また、次のリストにある値のみを含めることができます。
すべての内部または外部のロードバランサを含めるには、「in:」接頭辞に「INTERNAL」または「EXTERNAL」を続けて使用します。たとえば、「in:INTERNAL」を許可すると、上記のリストにある INTERNAL を含むすべてのロードバランサ タイプが許可されます。 constraints/compute.restrictLoadBalancerCreationForTypes |
"is:"、"in:" |
| Compute Engine | Confidential Computing 以外を制限する | このリスト型制約の拒否リストでは、Confidential Computing を有効にしてすべての新しいリソースを作成する必要がある一連のサービスを定義します。デフォルトでは、新しいリソースは Confidential Computing を使用する必要はありません。このリスト型制約の適用中は、リソースのライフサイクル全体で Confidential Computing を無効にすることはできません。既存のリソースは、引き続き通常どおり動作します。サービスの拒否リストは、API の文字列名として識別される必要があります。さらに、以下のリストにある明示的な拒否値のみを含めることができます。現在、API を明示的に許可する機能はサポートされていません。このリストにない API を明示的に拒否すると、エラーが発生します。サポートされている API のリスト: [compute.googleapis.com, container.googleapis.com] constraints/compute.restrictNonConfidentialComputing |
"is:" |
| Compute Engine | Partner Interconnect の使用の制限 | このリスト型制約は、Partner Interconnect の使用が許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictPartnerInterconnectUsage |
"is:"、"under:" |
| Compute Engine | IP アドレスの種類に基づいてプロトコル転送を制限する | このリスト型制約は、ユーザーが作成できるターゲット インスタンスを持つプロトコル転送ルール オブジェクトのタイプを定義します。この制約が適用される場合、ターゲット インスタンスを持つ新しい転送ルール オブジェクトは、指定されたタイプに基づいて、内部 IP アドレスまたは外部 IP アドレスに限定されます。許可または拒否するタイプは、明示的に指定する必要があります。デフォルトでは、ターゲット インスタンスで内部および外部プロトコル転送ルール オブジェクトの両方を作成できます。 許可または拒否される値のリストには、以下のリストの値のみを含めることができます。
constraints/compute.restrictProtocolForwardingCreationForTypes |
"is:" |
| Compute Engine | 共有 VPC ホスト プロジェクトの制限 | このリスト型制約は、このリソースと同じ位置かその下にあるプロジェクトで接続先にできる、一連の共有 VPC ホスト プロジェクトを定義します。デフォルトでは、プロジェクトは同じ組織内の任意のホスト プロジェクトに接続して、サービス プロジェクトになることができます。許可リストまたは拒否リスト内のプロジェクト、フォルダ、組織は、リソース階層でそれらの下にあるすべてのオブジェクトに影響を及ぼします。また、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。constraints/compute.restrictSharedVpcHostProjects |
"is:"、"under:" |
| Compute Engine | 共有 VPC サブネットワークの制限 | このリスト型制約は、適格リソースで使用できる一連の共有 VPC サブネットワークを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースはすべての共有 VPC サブネットワークを使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME という形式で指定する必要があります。constraints/compute.restrictSharedVpcSubnetworks |
"is:"、"under:" |
| Compute Engine | VPC ピアリング使用量の制限 | このリスト型制約では、このプロジェクト、フォルダ、組織に属する VPC ネットワークとピアリングできる一連の VPC ネットワークを定義します。デフォルトでは、あるネットワークのネットワーク管理者は、他のすべてのネットワークとピアリングできます。ネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。constraints/compute.restrictVpcPeering |
"is:"、"under:" |
| Compute Engine | VPN ピア IP の制限 | このリスト型制約は、VPN ピア IP として構成できる一連の有効な IP-v4 アドレスを定義します。デフォルトでは、すべての IP を VPC ネットワークの VPN ピア IP にすることができます。IP アドレスの許可 / 拒否リストは、IP_V4_ADDRESS の形式で有効な IP-v4 アドレスとして指定する必要があります。constraints/compute.restrictVpnPeerIPs |
"is:" |
| Compute Engine | 新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定します | 「True」に設定すると、新しく作成したプロジェクトでゾーン DNS がデフォルトで使用されます。デフォルトではこの制約は「False」に設定され、新しく作成したプロジェクトでデフォルトの DNS タイプが使用されます。constraints/compute.setNewProjectDefaultToZonalDNSOnly |
"is:" |
| Compute Engine | 共有予約オーナー プロジェクト | このリスト型制約は、組織内で共有予約を作成および所有できる一連のプロジェクトを定義します。共有予約はローカルの予約に似ていますが、オーナー プロジェクトのみが使用可能ではなく、リソース階層にある他の Compute Engine プロジェクトにより使用可能であるという点が異なります。共有予約にアクセスをできるプロジェクトのリストは、projects/PROJECT_ID または under:projects/PROJECT_ID の形式にする必要があります。現在、この制約は限定公開プレビューでのみ使用できます。constraints/compute.sharedReservationsOwnerProjects |
"is:"、"under:" |
| Compute Engine | デフォルト ネットワークの作成をスキップ | このブール値制約を True に設定した場合、Google Cloud Platform プロジェクト リソースの作成時に、デフォルトのネットワークと関連リソースの作成がスキップされます。デフォルトでは、プロジェクトの作成時にデフォルトのネットワークと補助的リソースが自動的に作成されます。constraints/compute.skipDefaultNetworkCreation |
"is:" |
| Compute Engine | Compute ストレージ リソースの使用制限（Compute Engine のディスク、イメージ、スナップショット） | このリスト型制約は、Compute Engine のストレージ リソースの使用を許可される一連のプロジェクトを定義します。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは誰でも Compute Engine のリソースにアクセスできます。この制約を使用する場合、ユーザーには Cloud IAM のアクセス許可が必要であり、リソースへのアクセスが制約で制限されていてはなりません。 許可リストまたは拒否リストで指定するプロジェクト、フォルダ、組織は、 under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID の形式である必要があります。constraints/compute.storageResourceUseRestrictions |
"is:"、"under:" |
| Compute Engine | 信頼できるイメージ プロジェクトを定義する | このリスト型制約は、Compute Engine のイメージ保存やディスク インスタンス化に使用できる一連のプロジェクトを定義します。 デフォルトでは、イメージを公開で共有しているかユーザーと明示的に共有している任意のプロジェクト内のイメージから、インスタンスを作成できます。 パブリッシャー プロジェクトの許可リストまたは拒否リストは、 projects/PROJECT_ID の形式の文字列である必要があります。この制約がアクティブな場合は、信頼できるプロジェクト内のイメージのみが、新しいインスタンスのブートディスクのソースとして許可されます。constraints/compute.trustedImageProjects |
"is:" |
| Compute Engine | VM IP 転送の制限 | このリスト型制約は、IP 転送を有効にできる一連の VM インスタンスを定義します。デフォルトでは、すべての VM がすべての仮想ネットワークで IP 転送を有効にすることができます。VM インスタンスは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME の形式で指定する必要があります。constraints/compute.vmCanIpForward |
"is:"、"under:" |
| Compute Engine | VM インスタンス用に許可される外部 IP を定義する | このリスト型制約は、外部 IP アドレスの使用が許可されている一連の Compute Engine VM インスタンスを定義します。 デフォルトでは、すべての VM インスタンスで外部 IP アドレスの使用が許可されます。 VM インスタンスの許可リストまたは拒否リストは、 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE constraints/compute.vmExternalIpAccess という形式の VM インスタンス名で識別する必要があります。 |
"is:" |
| 重要な連絡先 | ドメインで制限された連絡先 | このリスト型制約は、[重要な連絡先] に追加できるメールアドレスのドメインのセットを定義します。 デフォルトでは、すべてのドメインのメールアドレスを [重要な連絡先] に追加できます。 許可リストまたは拒否リストには、 @example.com という形式の 1 つまたは複数のドメインを指定する必要があります。この制約が有効で、許可されている値で構成されている場合、許可されたドメインのリスト内のいずれかのエントリとサフィックスが一致するメールアドレスのみが、Essential Contacts に追加されます。この制約は既存の連絡先の更新や削除には影響しません。 constraints/essentialcontacts.allowedContactDomains |
"is:" |
| Cloud Healthcare | Cloud Logging を無効にする | この制約が適用される組織、プロジェクト、フォルダで Cloud Logging を無効にします。監査ログはこの制約の影響を受けません。 制約の適用前に生成されたログは削除されず、引き続きアクセスできます。 この制約は Cloud Healthcare API でのみサポートされます。 constraints/gcp.disableCloudLogging |
"is:" |
| ID とアクセスの管理 | OAuth 2.0 アクセス トークンの存続期間を最大 12 時間延長することを許可する | このリスト型制約は、存続期間が最大 12 時間の OAuth 2.0 アクセス トークンを付与できる一連のサービス アカウントを定義します。デフォルトでは、これらのアクセス トークンの最大存続期間は 1 時間です。 サービス アカウントの許可リストまたは拒否リストには、1 つ以上のサービス アカウントのメールアドレスを指定する必要があります。 constraints/iam.allowServiceAccountCredentialLifetimeExtension |
"is:" |
| Identity and Access Management | ドメインで制限された共有 | このリスト型制約は、Cloud IAM ポリシーに追加できる一連のメンバーを定義します。 デフォルトでは、すべてのユーザー ID を Cloud IAM ポリシーに追加できます。 許可リストまたは拒否リストには、1 つ以上の Cloud Identity または G Suite お客様 ID を指定する必要があります。この制約が有効な場合、許可リスト内の ID のみが Cloud IAM ポリシーに追加されます。 constraints/iam.allowedPolicyMemberDomains |
"is:" |
| Identity and Access Management | サービス アカウント作成の無効化 | このブール型制約が True に設定されている場合、サービス アカウントの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントを作成できます。 constraints/iam.disableServiceAccountCreation |
"is:" |
| Identity and Access Management | サービス アカウント キーの作成を無効化 | このブール型制約を True に設定すると、サービス アカウントの外部キーの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントの外部キーを作成できます。 constraints/iam.disableServiceAccountKeyCreation |
"is:" |
| Identity and Access Management | サービス アカウント キー アップロードの無効化 | このブール型制約が True に設定されているサービス アカウントに公開鍵をアップロードできるようにする機能は、このブール型制約により無効になります。 デフォルトでは、ユーザーの Cloud IAM のロールと権限に基づいてーザーがサービス アカウントに公開鍵をアップロードできます。 constraints/iam.disableServiceAccountKeyUpload |
"is:" |
| Identity and Access Management | Workload Identity クラスタ作成の無効化 | このブール型制約を True に設定した場合、すべての新しい GKE クラスタでは作成時に Workload Identity が無効である必要があります。Workload Identity がすでに有効である既存の GKE クラスタは、引き続き通常どおり動作します。デフォルトでは、すべての GKE クラスタに対して Workload Identity を有効にできます。constraints/iam.disableWorkloadIdentityClusterCreation |
"is:" |
| Identity and Access Management | Cloud IAM のワークロード向けに許可されている外部の ID プロバイダ | Cloud IAM 内のワークロード認証用に構成可能な ID プロバイダ。URI/URL により指定します。constraints/iam.workloadIdentityPoolProviders |
"is:" |
| Resource Manager | 共有 VPC プロジェクト リーエンの削除を制限する | このブール型制約を True に設定すると、組織レベルの権限なしで共有 VPC プロジェクト リーエンを削除できるユーザーが制限されます。デフォルトでは、リーエンの更新権限を持つすべてのユーザーに共有 VPC プロジェクト リーエンの削除が許可されます。この制約を適用するには、組織レベルで権限を付与する必要があります。 constraints/compute.restrictXpnProjectLienRemoval |
"is:" |
| Cloud Run | 許可される Binary Authorization ポリシー（Cloud Run） | プレビュー: このリスト型制約は、Cloud Run リソースに指定できる Binary Authorization ポリシー名のセットを定義します。デフォルトでは、リソースには任意の Binary Authorization ポリシーを指定できます。 Binary Authorization ポリシーはプロジェクトごとに 1 つしか存在しないため、ポリシーの許可リストや拒否リストには値 default を使用する必要があります。constraints/run.allowedBinaryAuthorizationPolicies |
"is:" |
| Cloud Run | 許可される上り（内向き）設定（Cloud Run） | プレビュー: このリスト型制約は、Cloud Run サービスに対して許可される上り（内向き）設定を定義します。この制約が適用されると、許可された値のいずれかに一致する上り（内向き）設定がサービスで必要になります。この制約に従わない上り（内向き）設定がある既存の Cloud Run サービスは、サービスの上り（内向き）設定がこの制約に従うように変更されるまで、引き続き更新できます。サービスがこの制約に従うようになると、サービスはこの制約で許可されている上り（内向き）設定のみを使用できます。 デフォルトでは、Cloud Run サービスは任意の上り（内向き）設定を使用できます。 許可リストには、サポートされている上り（内向き）設定値（ all、internal、internal-and-cloud-load-balancing）を含める必要があります。constraints/run.allowedIngress |
"is:" |
| Cloud Run | 許可される VPC 下り（外向き）設定（Cloud Run） | プレビュー: このリスト型制約は、Cloud Run サービスのリビジョンで許可される VPC 下り（外向き）設定を定義します。この制約が適用されると、サービスのリビジョンにサーバーレス VPC アクセス コネクタが必要になり、リビジョンの VPC 下り（外向き）設定が許可された値のいずれかに一致することが求められます。 既存のサービスの場合、新しくデプロイするリビジョンはすべて、この制約に従う必要があります。この制約に従わないトラフィックを処理するリビジョンの既存のサービスは、この制約に従わないリビジョンに引き続きトラフィックを移行できます。サービスのすべてのトラフィックが、この制約に従ったリビジョンによって処理されると、それ以降のトラフィックの移行では、この制約に従うリビジョンにのみトラフィックを移行する必要があります。 デフォルトでは、Cloud Run のリビジョンは VPC 下り（外向き）設定を、サポートされている任意の値に設定できます。 許可リストには、サポートされている VPC 下り（外向き）設定の値（ private-ranges-only と all-traffic）を含める必要があります。constraints/run.allowedVPCEgress |
"is:" |
| Service Consumer Management | デフォルトのサービス アカウントに対する IAM ロールの自動付与の無効化 | このブール型制約を適用すると、プロジェクトで作成されたデフォルト の App Engine サービス アカウントと Compute Engine サービス アカウントは、アカウント作成時にプロジェクトの IAM ロールを自動的に付与しなくなります。 デフォルトでは、これらのサービス アカウントには作成時に編集者のロールが自動的に付与されます。 constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
"is:" |
| Cloud Storage | Google Cloud Platform - 詳細な監査ロギングモード | 詳細な監査ロギングモードが適用されている場合は、リクエストとレスポンスの両方が Cloud Audit Logs に含まれます。この機能を変更すると、反映されるまで 10 分ほどかかることがあります。SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d)、FINRA Rule 4511(c) などのコンプライアンスが目標である場合は、この組織ポリシーをバケットロックと連携して使用することを強くおすすめします。現時点でこのポリシーは Google Cloud Storage のみでサポートされています。constraints/gcp.detailedAuditLoggingMode |
"is:" |
| Cloud Storage | 保持ポリシー期間（秒） | このリスト型制約は、Cloud Storage バケットに設定できる保持ポリシーの期間を定義します。 デフォルトでは、組織のポリシーが指定されない場合、任意の期間の保持ポリシーを Cloud Storage バケットに格納できます。 許可期間のリストは、保持ポリシーを秒単位で表す、0 より大きい正の整数値として指定される必要があります。 組織リソース内のバケットに対する挿入、更新、またはパッチ オペレーションには、制約と一致する保持ポリシー期間を設定する必要があります。 この制約は遡って適用されることはありません。新しい組織ポリシーが適用されても、既存のバケットの保持ポリシーは変更されず有効なままです。 constraints/storage.retentionPolicySeconds |
"is:" |
| Cloud Storage | 均一なバケットレベルのアクセスの適用 | このブール型制約を True に設定すると、バケットで、均一なバケットレベルのアクセスを使用することが必須となります。組織リソース内に新規作成するバケットでは、均一なバケットレベルのアクセスを有効にする必要があります。組織リソース内の既存バケットで、均一なバケットレベルのアクセスを無効にすることはできません。この制約は遡って適用されることはありません。均一なバケットレベルのアクセスが無効になっている既存のバケットでは、無効なままです。この制約のデフォルト値は False です。均一なバケットレベルのアクセスでは、バケット内の Cloud Storage オブジェクトに割り当てられた ACL の評価は無効になります。そのため、IAM ポリシーによってのみ、これらのバケット内のオブジェクトへのアクセス権が付与されます。 constraints/storage.uniformBucketLevelAccess |
"is:" |
入門ガイド
個別の制約を使用する方法については、以下をご覧ください。
| 制約 | 入門ガイド |
|---|---|
constraints/cloudfunctions.allowedIngressSettings |
VPC Service Controls を使用する |
constraints/cloudfunctions.allowedVpcConnectorEgressSettings |
VPC Service Controls を使用する |
cloudfunctions.requireVPCConnector |
VPC Service Controls を使用する |
constraints/compute.restrictCloudNATUsage |
Cloud NAT の使用制限 |
constraints/compute.restrictLoadBalancerCreationForTypes |
Cloud Load Balancing の制約 |
constraints/compute.restrictProtocolForwardingCreationForTypes |
プロトコル転送の制約 |
constraints/compute.restrictDedicatedInterconnectUsageconstraints/compute.restrictPartnerInterconnectUsage |
Cloud Interconnect の使用の制限 |
constraints/compute.restrictVpnPeerIPs |
Cloud VPN トンネルを経由したピア IP アドレスの制限 |
constraints/compute.trustedImageProjects |
イメージへのアクセスの制限 |
constraints/compute.vmExternalIpAccess |
VM の外部 IP アクセスの無効化 |
constraints/iam.allowedPolicyMemberDomains |
ドメイン別の ID の制限 |
constraints/iam.allowServiceAccountCredentialLifetimeExtension |
OAuth 2.0 アクセス トークンの存続時間を延長する |
constraints/iam.disableCrossProjectServiceAccountUsage |
サービス アカウントの別のプロジェクト内のリソースへのアタッチ |
constraints/iam.disableServiceAccountCreation |
サービス アカウントの作成の制限 |
constraints/iam.disableServiceAccountKeyCreation |
サービス アカウント キーの作成の制限 |
constraints/iam.disableServiceAccountKeyUpload |
サービス アカウント キーのアップロードを制限する |
constraints/iam.disableWorkloadIdentityClusterCreation |
Workload Identity クラスタの作成を制限する |
constraints/iam.restrictCrossProjectServiceAccountLienRemoval |
サービス アカウントの別のプロジェクト内のリソースへのアタッチ |
constraints/gcp.detailedAuditLoggingModeconstraints/storage.retentionPolicySecondsconstraints/storage.uniformBucketLevelAccess |
Cloud Storage の組織のポリシーに関する制約 |
constraints/gcp.disableCloudLogging |
Cloud Logging を無効にする |
constraints/gcp.resourceLocations |
リソース ロケーションの制限 |
constraints/compute.restrictCloudNATUsage |
Cloud NAT の組織のポリシーに関する制約 |
constraints/run.allowedIngress |
VPC Service Controls を使用する |
constraints/run.allowedVPCEgress |
VPC Service Controls を使用する |
詳細
組織ポリシーの基本コンセプトの詳細については、以下をご覧ください。
組織ポリシーの概要を読む。
制約について読む。
組織ポリシーを作成して制約を使用する方法について読む。
階層評価の仕組みについて読む。