組織のポリシーの制約

使用可能な制約

次の制約を使用するポリシーを指定できます。

複数の Google Cloud サービスでサポートされる制約

制約 説明 サポートされている接頭辞
許可されたワーカープール（Cloud Build） このリスト型制約は、Cloud Build を使用してビルドを実行するための許可された Cloud Build ワーカープールのセットを定義します。この制約が適用されると、許可された値のいずれかに一致するワーカープールでビルドすることが要求されます。
デフォルトでは、Cloud Build はすべてのワーカープールを使用できます。
ワーカープールの許可リストの形式は、
  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID


constraints/cloudbuild.allowedWorkerPools 		"is:"、"under:"
Google Cloud Platform - リソース ロケーションの制限 このリスト型制約は、ロケーション ベースの Google Cloud リソースを作成できる一連のロケーションを定義します。
デフォルトでは、任意のロケーションにリソースを作成できます。
この制約に関するポリシーでは、許可または拒否するロケーションとして、asia や europe などのマルチリージョン、us-east1 や europe-west1 などのリージョンを指定できます。マルチリージョンを許可または拒否しても、それらに含まれるすべてのサブロケーションまで許可または拒否されることにはなりません。たとえば、ポリシーで us マルチリージョン（一部のストレージ サービスなどのマルチリージョン リソースを指す）が拒否されていても、リージョン ロケーション us-east1 には依然としてリソースを作成できます。一方、in:us-locations グループは us リージョン内のすべてのロケーションを含み、すべてのリージョンをブロックするために使用できます。
値グループを使用してポリシーを定義することをおすすめします。
値グループ（リソースのロケーションを簡単に定義できるようにするために Google によってキュレートされた、ロケーションのコレクション）を指定できます。組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加し、その後に値グループを配置します。
たとえば、米国内にのみ存在するリソースを作成するには、使用可能な値のリストに in:us-locations を設定します。
ロケーション ポリシーで suggested_value フィールドが使用されている場合は、リージョンを設定する必要があります。指定した値がリージョンの場合は、ゾーンリソースの UI にこのリージョン内のすべてのゾーンが事前に入力されます。
constraints/gcp.resourceLocations 		"is:"、"in:"
CMEK 用の KMS CryptoKey を提供できるプロジェクトを制限する このリスト型制約は、リソースの作成時に顧客管理の暗号鍵（CMEK）を提供するために使用できるプロジェクトを定義します。この制約を [Allow] に設定した場合（これらのプロジェクトからの CMEK 鍵のみを許可する場合）、他のプロジェクトの CMEK 鍵を使用して、新規に作成されるリソースを保護できなくなります。この制約の値は、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。この制約を適用するサポート対象のサービスは次のとおりです。
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataproc.googleapis.com
  • documentai.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
　この制約の適用は、追加サービスを追加するために、随時拡大される場合があります。サポートされているサービスとサポートされていないサービスが混在しているプロジェクト、フォルダ、組織にこの制約を適用する場合は、注意が必要です。この制約を [DenyまたはDeny All] に設定することはできません。この制約が遡って適用されることはありません。許可されていないプロジェクトからの KMS CryptoKey を持つ既存の CMEK Google Cloud リソースは、手動で再構成または再作成して、この制約を適用する必要があります。
constraints/gcp.restrictCmekCryptoKeyProjects 		"is:"、"under:"
CMEK を使用せずにリソースを作成できるサービスを制限する このリスト型制約は、顧客管理の暗号鍵（CMEK）を必要とするサービスを定義します。この制約を Deny に設定した場合（CMEK を使用しないリソース作成を認めない場合）、指定するサービスでは、新規に作成されるリソースを CMEK 鍵で保護する必要があります。この制約で設定できるサポート対象のサービスは次のとおりです。
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataproc.googleapis.com
  • documentai.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
この制約を [Deny All] に設定することはできません。この制約を [Allow] に設定することはできません。この制約が遡って適用されることはありません。CMEK がない既存の Google Cloud リソースは、手動で再構成または再作成して、この制約を適用する必要があります。
constraints/gcp.restrictNonCmekServices 		"is:"
リソース サービスの使用を制限する この制約は、組織、フォルダ、プロジェクト内で使用できる一連の Google Cloud リソース サービス（compute.googleapis.com や storage.googleapis.com など）を定義します。
デフォルトでは、すべての Google Cloud リソース サービスが許可されています。
詳しくは、https://cloud.google.com/resource-manager/help/organization-policy/restricting-resources をご覧ください。

constraints/gcp.restrictServiceUsage 		"is:"
リージョン リソースでの Identity-Aware Proxy（IAP）の有効化を無効にする このブール型制約を適用すると、リージョン リソースで Identity-Aware Proxy を有効にできなくなります。グローバル リソースでの IAP の有効化は、この制約で制限されることはありません。
デフォルトでは、リージョン リソースで IAP を有効にすることができます。
constraints/iap.requireRegionalIapWebDisabled 		"is:"
許可される Google Cloud API とサービスを制限する このリスト型制約は、このリソースで有効にできるサービスと、そのサービスの API を制限します。デフォルトでは、すべてのサービスが許可されます。
サービスの拒否リストは、以下のリストから指定する必要があります。現在、この制約を介した API を明示的に有効にすることはできません。このリストにない API を指定すると、エラーが発生します。
この制約が遡って適用されることはありません。この制約が適用された時点でサービスがリソース上ですでに有効になっている場合、サービスは有効のままです。

constraints/serviceuser.services 		"is:"

特定のサービスの制約

サービス 制約 説明 サポートされている接頭辞
Vertex AI Workbench Vertex AI Workbench のノートブックとインスタンスのアクセスモードを定義する このリスト型制約は、適用される　Vertex AI Workbench のノートブックとインスタンスに対して許可されるアクセスのモードを定義します。許可リストまたは拒否リストでは、service-account モードで複数のユーザーの指定、またはsingle-user モードでシングル ユーザー アクセスの指定を行えます。許可または拒否するアクセスモードを明示的に表示する必要があります。
constraints/ainotebooks.accessMode 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench インスタンスでファイルのダウンロードを無効にする このブール型制約を適用すると、ファイル ダウンロード オプションを有効にして Vertex AI Workbench インスタンスを作成できなくなります。デフォルトでは、任意の Vertex AI Workbench インスタンスでファイル ダウンロード オプションを有効にできます。
constraints/ainotebooks.disableFileDownloads 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench ユーザー管理のノートブックとインスタンスで root アクセスを無効にする このブール型制約を適用すると、新しく作成された Vertex AI Workbench ユーザー管理のノートブックとインスタンスで、ルートアクセスを有効にできなくなります。デフォルトでは、Vertex AI Workbench ユーザー管理のノートブックとインスタンスで root アクセスを有効にできます。
constraints/ainotebooks.disableRootAccess 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench インスタンスでターミナルを無効にする このブール型制約を適用すると、ターミナルを有効にして Vertex AI Workbench インスタンスを作成できなくなります。デフォルトでは、ターミナルは Vertex AI Workbench インスタンスで有効にできます。
constraints/ainotebooks.disableTerminal 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench のノートブックとインスタンスの環境オプションを制限する このリスト型制約は、この制約が適用される新しい Vertex AI Workbench のノートブックとインスタンスを作成するときに、ユーザーが選択できる VM とコンテナ イメージのオプションを定義します。許可または拒否するオプションは、明示的に指定する必要があります。
VM インスタンスの想定される形式は ainotebooks-vm/PROJECT_ID/IMAGE_TYPE/CONSTRAINED_VALUE です。IMAGE_TYPE は image-family または image-name に置き換えます。例: ainotebooks-vm/deeplearning-platform-release/image-family/pytorch-1-4-cpu、ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615。
コンテナ イメージの想定される形式は ainotebooks-container/CONTAINER_REPOSITORY:TAG です。例: ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:latest、ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15:m48。
constraints/ainotebooks.environmentOptions 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench ユーザー管理のノートブックとインスタンスでは、自動定期アップグレードがひつようです。 このブール型制約を適用する場合は、新しく作成された Vertex AI Workbench ユーザー管理のノートブックとインスタンスに自動アップグレード スケジュールを設定する必要があります。自動アップグレード スケジュールを設定するには、「notebook-upgrade-schedule」メタデータ フラグを使用して、自動アップグレードの cron スケジュールを指定します。例:「--metadata=notebook-upgrade-schedule="00 19 * * MON"」。
constraints/ainotebooks.requireAutoUpgradeSchedule		 "is:"
Vertex AI Workbench 新しい Vertex AI Workbench のノートブックとインスタンスでパブリック IP アクセスを制限する このブール型制約を適用すると、新しく作成された Vertex AI Workbench のノートブックとインスタンスへのパブリック IP アクセスが制限されます。デフォルトでは、パブリック IP は Vertex AI Workbench のノートブックとインスタンスにアクセスできます。
constraints/ainotebooks.restrictPublicIp 		"is:"
Vertex AI Workbench 新しい Vertex AI Workbench インスタンスで VPC ネットワークを制限する このリスト型制約は、この制約が適用される新しい Vertex AI Workbench インスタンスの作成時にユーザーが選択できる VPC ネットワークを定義します。デフォルトでは、任意の VPC ネットワークで Vertex AI Workbench インスタンスを作成できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
constraints/ainotebooks.restrictVpcNetworks 		"is:"、"under:"
App Engine ソースコードのダウンロードを無効にする 以前に App Engine にアップロードされたソースコードのダウンロードを無効にします。
constraints/appengine.disableCodeDownload 		"is:"
App Engine ランタイム デプロイの除外（App Engine） このリスト型制約は、サポートが終了したデプロイを許可する App Engine スタンダードのレガシー ランタイム（Python 2.7、PHP 5.5、Java 8）を定義します。App Engine スタンダードのレガシー ランタイムは、2024 年 1 月 30 日にサポートが終了します。通常、この日付以降にレガシー ランタイムを使用してアプリケーションをデプロイしようとするとブロックされます。App Engine スタンダード ランタイム サポート スケジュールをご覧ください。この制約を [許可] に設定すると、ランタイムの廃止日まで、指定したレガシー ランタイムの App Engine スタンダード デプロイメントのブロックを解除できます。この制約を [すべて許可] に設定すると、ランタイムの廃止日まで、すべてのレガシー ランタイムに対して App Engine スタンダード デプロイメントのブロックを解除できます。サポート期間が終了したランタイムには、定期的なセキュリティ パッチとメンテナンス パッチが適用されません。一般提供のランタイム バージョンを使用するようにアプリケーションをアップグレードすることを強くおすすめします。
constraints/appengine.runtimeDeploymentExemption 		"is:"
BigQuery BigQuery Omni for Cloud AWS を無効にする このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Amazon Web Services 上のデータを BigQuery Omni で処理できなくなります。
constraints/bigquery.disableBQOmniAWS 		"is:"
BigQuery BigQuery Omni for Cloud Azure を無効にする このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Microsoft Azure で BigQuery Omni を使用してデータを処理できなくなります。
constraints/bigquery.disableBQOmniAzure 		"is:"
Cloud Build 許可された統合（Cloud Build） このリスト型制約は、Google Cloud 外のサービスから Webhook の受信を介してビルドを実行するための許可された Cloud Build の統合を定義します。この制約が適用されると、許可された値のいずれかにホストが一致するサービスの Webhook のみが処理されます。
デフォルトでは、Cloud Build はアクティブなトリガーが 1 つ以上あるプロジェクトのすべての Webhook を処理します。
constraints/cloudbuild.allowedIntegrations 		"is:"
Cloud Deploy Cloud Deploy サービスラベルを無効にする このブール型制約が適用されると、Cloud Deploy はデプロイされるオブジェクトに対して Cloud Deploy 識別子ラベルを追加しなくなります。
デフォルトでは、リリースの作成時にデプロイされるオブジェクトに対して、Cloud Deploy リソースを識別するラベルが追加されます。
constraints/clouddeploy.disableServiceLabelGeneration 		"is:"
Cloud Functions 許可される上り（内向き）設定（Cloud Functions） このリスト制約は、クラウド機能のデプロイについて許可される Ingress の設定を定義します。この制約が適用される場合、許可された値のいずれかに一致する Ingress の設定が関数に必要です。
デフォルトでは、Cloud Functions は任意の上り（内向き）設定を使用できます。
上り（内向き）設定は、IngressSettings 列挙型の値を使用して許可リストで指定する必要があります。

constraints/cloudfunctions.allowedIngressSettings 		"is:"
Cloud Functions 許可される VPC コネクタの下り（外向き）設定（Cloud Functions） このリスト制約は、Cloud Functions のデプロイに許可される VPC コネクタ出力設定を定義します。この制約が適用されると、Cloud Functions には許可された値の 1 つに一致する VPC コネクタ出力設定が必要になります。
デフォルトでは、Cloud Functions はすべての VPC コネクタの下り（外向き）設定を使用できます。
VPC コネクタの下り（外向き）設定は、VpcConnectorEgressSettings 列挙型の値を使用して許可リストで指定する必要があります。

constraints/cloudfunctions.allowedVpcConnectorEgressSettings 		"is:"
Cloud Functions VPC コネクタが必須（Cloud Functions） このブール値制約により、Cloud Functions の関数をデプロイするときに VPC コネクタの設定が適用されます。この制約が適用されると、Cloud Functions は VPC コネクタを指定する必要があります。
デフォルトでは、VPC コネクタを指定するのに Cloud Functions の関数をデプロイする必要はありません。

constraints/cloudfunctions.requireVPCConnector 		"is:"
Cloud Functions 許可される Cloud Functions の世代 このリスト型制約は、新しい関数リソースの作成に使用できる一連の Cloud Functions の関数の世代を定義します。指定できる値は 1stGen、2ndGen です。
constraints/cloudfunctions.restrictAllowedGenerations 		"is:"
Cloud KMS 作成できる KMS CryptoKey のタイプを制限します。 このリスト型制約は、特定の階層ノードの下に作成できる Cloud KMS 鍵タイプを定義します。この制約が適用されると、この組織のポリシー内に指定された KMS 鍵タイプのみを、関連する階層ノード内に作成できます。この組織のポリシーを設定すると、インポート ジョブと鍵バージョンの保護レベルにも影響があります。デフォルトでは、すべての鍵タイプが許可されます。指定できる値は SOFTWARE、HSM、EXTERNAL、EXTERNAL_VPC です。拒否ポリシーは使用できません。
constraints/cloudkms.allowedProtectionLevels 		"is:"
Cloud KMS 鍵の破棄を無効な鍵バージョンに制限する このブール型制約を適用すると、無効な状態にある鍵バージョンの破棄のみが許可されます。デフォルトでは、有効な状態にある鍵バージョンと無効な状態にある鍵バージョンを破棄できます。この制約が適用されると、新しい鍵バージョンと既存の鍵バージョンの両方に適用されます。
constraints/cloudkms.disableBeforeDestroy 		"is:"
Cloud KMS 鍵ごとの破棄の最小期間 このリスト型制約は、新しい鍵を作成するときにユーザーが指定できる最小破棄スケジュール期間（日数）を定義します。制約を適用した後に、破棄スケジュール期間がこの値より短い鍵を作成することはできません。デフォルトでは、すべての鍵の最小破棄スケジュール期間は 1 日です（ただし、インポート専用鍵が 0 日の場合を除く）。
in:1d、in:7d、in:15d、in:30d、in:60d、in:90d、in:120d の形式で指定できる値は 1 つだけです。たとえば、constraints/cloudkms.minimumDestroyScheduledDuration が in:15d に設定されている場合、ユーザーは破棄のスケジュール設定期間が 15 日（16 日、31 日など）を超える値に設定された鍵を作成できます。ただし、破棄期間が 15 日未満（14 日など）に鍵を作成することはできません。階層内の各リソースについて、最小破棄スケジュール期間は、親のポリシーを継承、置換、結合することができます。リソースのポリシーが親のポリシーと結合されている場合、リソースの最小破棄スケジュール期間の有効値は、リソースのポリシーで指定された値と親の有効な最小破棄スケジュール期間のどちらか低い方の値になります。たとえば、組織の最小破棄スケジュール期間が 7 日間で、子プロジェクトのポリシーが in:15d の値で「親と結合する」に設定されている場合、プロジェクトで有効な最小破棄スケジュールの長さは 7 日になります。
constraints/cloudkms.minimumDestroyScheduledDuration 		"is:"、"in:"
Cloud Scheduler ジョブに対して許可されるターゲット タイプ このリスト型制約は、Cloud Scheduler ジョブで許可されるターゲット タイプ（App Engine HTTP、HTTP、Pubsub など）のリストを定義します。
デフォルトでは、すべてのジョブ ターゲットが許可されます。
指定できる値は、APPENGINE、HTTP、PUBSUB です。
constraints/cloudscheduler.allowedTargetTypes 		"is:"
Cloud SQL Cloud SQL インスタンスに対する承認済みネットワークを制限する このブール型制約が True に設定されている Cloud SQL インスタンスへのプロキシを経由しないデータベース アクセスに関して、承認済みネットワークの追加が制限されます。この制約は遡って適用されません。承認済みネットワークがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。
デフォルトでは、Cloud SQL インスタンスに承認済みネットワークを追加できます。

constraints/sql.restrictAuthorizedNetworks 		"is:"
Cloud SQL コンプライアンス要件を満たすために、Cloud SQL の診断および管理アクセス経路を無効にします。 このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約が適用されると、サポートの特定の側面が損なわれ、Assured Workloads の高度な主権要件を満たさない診断やその他のカスタマー サポートのユースケースのすべてのアクセスパスが無効になります。
constraints/sql.restrictNoncompliantDiagnosticDataAccess 		"is:"
Cloud SQL Cloud SQL インスタンスに対して非準拠のワークロードを制限します。 このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約が適用されると、支持性の特性が多少損なわれ、プロビジョニングされたリソースが、Assured Workloads の高度な主権要件に厳密に従います。このポリシーは、既存のプロジェクトに適用されるという点で遡及的ですが、すでにプロビジョニングされているリソースには影響しません。すなわち、ポリシーの変更は、ポリシーの変更後に作成されたリソースにのみ反映されます。
constraints/sql.restrictNoncompliantResourceCreation 		"is:"
Cloud SQL Cloud SQL インスタンスに対するパブリック IP のアクセスを制限する このブール型制約が True に設定されている Cloud SQL インスタンスに対するパブリック IP の構成が制限されます。この制約は遡って適用されません。パブリック IP アクセスがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。
デフォルトでは、Cloud SQL インスタンスへのパブリック IP アクセスは許可されます。

constraints/sql.restrictPublicIp 		"is:"
Google Cloud Marketplace 一般公開マーケットプレイスを無効にする このブール型制約を適用すると、組織内のすべてのユーザーの一般公開マーケットプレイスが無効になります。デフォルトでは、組織に対して一般公開マーケットプレイスへのアクセスが有効になっています。
constraints/commerceorggovernance.disablePublicMarketplace 		"is:"
Google Cloud Marketplace マーケットプレイス サービスへのアクセスを制限する このリスト型制約は、マーケットプレイス組織に対して許可されている一連のサービスを定義し、次のリストの値のみを含めることができます。
  • PRIVATE_MARKETPLACE
  • IAAS_PROCUREMENT
PRIVATE_MARKETPLACE が許可された値のリストに含まれている場合、プライベート マーケットプレイスは有効になっています。IAAS_PROCUREMENT が許可された値のリストに含まれている場合、IaaS 調達ガバナンス エクスペリエンスはすべてのプロダクトで有効になっています。デフォルトでは、プライベート マーケットプレイスは無効で、IaaS 調達ガバナンス エクスペリエンスは無効になっています。また、IAAS_PROCUREMENT ポリシーは、Request Procurement ガバナンス機能とは独立して機能します。これは、マーケットプレイスにリストされている SaaS プロダクトを対象としています。
constraints/commerceorggovernance.marketplaceServices 		"is:"
Compute Engine 許可される VLAN アタッチメントの暗号化設定 このリスト型制約は、新しい VLAN アタッチメントに対して許可される暗号化設定を定義します。
デフォルトでは、VLAN アタッチメントはすべての暗号化設定を使用できます。
IPSEC を許可された値として設定し、暗号化された VLAN アタッチメントの作成のみを適用します。
constraints/compute.allowedVlanAttachmentEncryption 		"is:"
Compute Engine すべての IPv6 の使用を無効にする このブール型制約を True に設定した場合、IPv6 の使用に関連するすべての Google Compute Engine リソースの作成または更新が無効になります。
デフォル トでは、適切な Cloud IAM 権限を持つユーザーは誰でも、任意のプロジェクト、フォルダ、組織で IPv6 を使用する Google Compute Engine リソースを作成または更新できます。
この制約を設定すると、他の IPv6 に関連する組織制約（disableVpcInternalIpv6、disableVpcExternalIpv6、disableHybridCloudIpv6 など）よりも優先順位が高くなります。
constraints/compute.disableAllIpv6 		"is:"
Compute Engine Cloud Armor セキュリティ ポリシーの作成を無効にする このブール型制約を適用すると、Cloud Armor セキュリティ ポリシーを作成できなくなります。
デフォルトでは、任意の組織、フォルダ、プロジェクトに Cloud Armor セキュリティ ポリシーを作成できます。
constraints/compute.disableGlobalCloudArmorPolicy 		"is:"
Compute Engine グローバル ロード バランシングを無効にする このブール型制約は、グローバル ロード バランシング サービスの作成を無効にします。これを適用すると、グローバルな依存関係のないリージョン ロード バランシング サービスのみを作成できます。デフォルトでは、グローバル ロード バランシングを作成できます。
constraints/compute.disableGlobalLoadBalancing 		"is:"
Compute Engine グローバル セルフマネージド SSL 証明書の作成を無効にする このブール型制約を適用すると、グローバル セルフマネージド SSL 証明書を作成できなくなります。Google マネージド証明書またはリージョン セルフマネージド証明書の作成が、この制約によって無効になることはありません。
デフォルトでは、任意の組織、フォルダ、プロジェクトにグローバル セルフマネージド SSL 証明書を作成できます。
constraints/compute.disableGlobalSelfManagedSslCertificate 		"is:"
Compute Engine VM シリアルポートへのグローバル アクセスを無効にする このブール型制約により、制約が適用される組織、プロジェクト、フォルダに属する Compute Engine VM へのグローバル シリアルポート アクセスが無効になります。デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のグローバル・シリアルポート アクセスが無効になります。リージョンのシリアルポート アクセスは、この制約の影響を受けません。すべてのシリアルポート アクセスを無効にするには、代わりに compute.disableSerialPortAccess 制約を使用します。
constraints/compute.disableGlobalSerialPortAccess 		"is:"
Compute Engine Compute Engine メタデータのゲスト属性の無効化 このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM のゲスト属性への Compute Engine API アクセスが無効になります。
デフォルトでは、Compute Engine API を使用して Compute Engine VM のゲスト属性にアクセスできます。

constraints/compute.disableGuestAttributesAccess 		"is:"
Compute Engine ハイブリッド クラウド IPv6 の使用の無効化 このブール型制約を True に設定すると、stack_type が IPV4_IPV6 の Cloud Router、Interconnect Attachments、Cloud VPN などのハイブリッド クラウド リソースの作成または更新が無効になります。
デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは、stack_type が IPV4_IPV6 のハイブリッド クラウド リソースを任意のプロジェクト、フォルダ、組織で作成または更新できます。
constraints/compute.disableHybridCloudIpv6 		"is:"
Compute Engine Instance Data Access API を無効にする このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約を適用すると、VM のシリアルポート出力にアクセスし、VM UI からスクリーンショットをキャプチャする GetSerialPortOutput API と GetScreenshot API が無効になります。
constraints/compute.disableInstanceDataAccessApis 		"is:"
Compute Engine インターネット ネットワーク エンドポイント グループの無効化 このブール型制約は、ユーザーが INTERNET_FQDN_PORT および INTERNET_IP_PORT の type でインターネット ネットワーク エンドポイント グループ（NEG）を作成できるかどうかを制限します。
デフォルトでは、適切な IAM 権限を持つすべてのユーザーは、任意のプロジェクトでインターネット NEG を作成できます。
constraints/compute.disableInternetNetworkEndpointGroup		 "is:"
Compute Engine VM のネストされた仮想化を無効にする このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属するすべての Compute Engine VM に対するハードウェア アクセラレーションによりネストされた仮想化は無効になります。
デフォルトでは、Intel Haswell 以降の CPU プラットフォームで実行されているすべての Compute Engine VM に対して、ハードウェア アクセラレーションによりネストされた仮想化は許可されています。

constraints/compute.disableNestedVirtualization 		"is:"
Compute Engine FIPS 準拠のマシンタイプを適用する このブール型制約を適用すると、FIPS の要件に準拠していない VM インスタンス タイプの作成が無効になります。
constraints/compute.disableNonFIPSMachineTypes 		"is:"
Compute Engine コンシューマ向け Private Service Connect の無効化 このリスト型制約は、ユーザーが転送ルールを作成できない Private Service Connect エンドポイント タイプを定義します。この制約が適用されると、ユーザーはその Private Service Connect エンドポイント タイプに対する転送ルールを作成できなくなります。この制約が過去にさかのぼって適用されることはありません。
デフォルトでは、すべての Private Service Connect エンドポイント タイプに対して転送ルールを作成できます。
Private Service Connect エンドポイントの許可 / 拒否リストは、次のリストから指定する必要があります。
  • GOOGLE_APIS
  • SERVICE_PRODUCERS
許可 / 拒否リストで GOOGLE_APIS を使用すると、Google API にアクセスするための Private Service Connect 転送ルールの作成が制限されます。許可 / 拒否リストで SERVICE_PRODUCERS を使用すると、別の VPC ネットワーク内のサービスにアクセスするための Private Service Connect 転送ルールの作成が制限されます。
constraints/compute.disablePrivateServiceConnectCreationForConsumers 		"is:"
Compute Engine VM シリアルポート アクセスを無効にする このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM へのシリアルポート アクセスが無効になります。
デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のシリアルポート アクセスが無効になります。

constraints/compute.disableSerialPortAccess 		"is:"
Compute Engine Stackdriver への VM シリアルポート ロギングを無効化 このブール型制約は、この制約が適用されている組織、プロジェクト、フォルダに属する Compute Engine VM から Stackdriver へのシリアルポート ロギングを無効にします。
デフォルトでは、Compute Engine VM のシリアルポート ロギングは無効になっており、メタデータ属性を使用して VM 単位またはプロジェクト単位で選択して有効にできます。この制約が適用されると、新しい VM が作成されるたびに、新しい Compute Engine VM に対するシリアルポート ロギングが無効になり、ユーザーは VM（旧または新）のメタデータ属性を True に変更できなくなります。シリアル ポート ロギングを無効にすると、それに依存する特定のサービス（Google Kubernetes Engine クラスタなど）が正しく機能しなくなるおそれがあります。この制約を適用する前に、プロジェクト内のプロダクトがシリアル ポート ロギングに依存していないことを確認してください。
constraints/compute.disableSerialPortLogging 		"is:"
Compute Engine ブラウザで SSH を無効にする このブール型制約は、Cloud Console の「ブラウザでの SSH ツール」を無効にします。適用すると、ブラウザでの SSH ボタンは無効になります。デフォルトでは、ブラウザでの SSH ツールの使用が許可されています。
constraints/compute.disableSshInBrowser 		"is:"
Compute Engine VPC 外部 IPv6 の使用を無効にする このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が EXTERNAL であるサブネットワークの作成または更新が無効になります。
デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。
constraints/compute.disableVpcExternalIpv6 		"is:"
Compute Engine VPC 内部 IPv6 使用を無効にする このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が INTERNAL であるサブネットワークの作成または更新が無効になります。
デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。
constraints/compute.disableVpcInternalIpv6 		"is:"
Compute Engine コンプライアンス メモリ保護ワークロードに必要な設定を有効にする このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。この制約は、VM コアメモリへの潜在的なアクセスパスを排除するために必要な設定を制御します。これを適用すると、アクセス経路を無効にして VM コアメモリにアクセスする機能が制限され、エラーが発生したときに内部データ収集が制限されます。
constraints/compute.enableComplianceMemoryProtection 		"is:"
Compute Engine OS ログインが必須 このブール型制約を true に設定した場合、新しく作成したすべてのプロジェクトで OS ログインが有効になります。新しいプロジェクトのすべての VM インスタンスで OS ログインが有効になります。この制約は、新規および既存のプロジェクトについて、プロジェクトまたはインスタンス レベルで OS ログインが無効なメタデータが更新されるのを防ぎます。
Compute Engine プロジェクトでは、OS Login 機能はデフォルトで無効になっています。
ノードプール バージョン 1.20.5-gke.2000 以降を実行している限定公開クラスタ内の GKE インスタンスは、OS Login をサポートしています。現在、一般公開クラスタ内の GKE インスタンスは OS Login をサポートしていません。一般公開クラスタを実行しているプロジェクトにこの制約が適用される場合、そのプロジェクトで実行される GKE インスタンスが正しく機能しない可能性があります。
constraints/compute.requireOsLogin 		"is:"
Compute Engine Shielded VM このブール型制約を True に設定した場合、すべての新しい Compute Engine VM インスタンスでは、セキュアブート、vTPM、整合性モニタリングのオプションが有効である Shielded ディスク イメージを使用する必要があります。必要に応じて、セキュアブートは作成後に無効にできます。既存の実行中のインスタンスは、引き続き通常どおり動作します。
デフォルトでは、Compute Engine VM インスタンスを作成するために Shielded VM の機能を有効にする必要はありません。Shielded VM の機能により、VM には、検証可能な整合性と情報流出防止機能が追加されます。
constraints/compute.requireShieldedVm 		"is:"
Compute Engine VPC フローログに対して、事前定義されたポリシーが必須 このリスト型制約は、VPC フローログに対して適用できる、事前定義されたポリシーのセットを定義します。
デフォルトでは、各サブネットの任意の設定を使用して VPC フローログを構成できます。
この制約は、必要な最小限のサンプリング レートを使用して、スコープ内のすべてのサブネットワークのフローログを強制的に有効にします。
次の有効な値の中から 1 つまたは複数指定します。
  • ESSENTIAL（値 0.1 以上 0.5 未満を許可）
  • LIGHT（値 0.5 以上 1.0 未満を許可）
  • COMPREHENSIVE（値 1.0 を許可）

constraints/compute.requireVpcFlowLogs 		"is:"
Compute Engine Cloud NAT の使用制限 このリスト型制約は、Cloud NAT の使用を許可するサブネットワークのセットを定義します。デフォルトでは、すべてのサブネットワークで Cloud NAT を使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictCloudNATUsage		 "is:"、"under:"
Compute Engine Dedicated Interconnect の使用の制限 このリスト型制約は、Dedicated Interconnect の使用を許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictDedicatedInterconnectUsage 		"is:"、"under:"
Compute Engine ロードバランサの種類に基づいてロードバランサの作成を制限する このリスト型制約は、組織、フォルダ、プロジェクトに対して作成可能な、一連のロードバランサのタイプを定義します。許可または拒否するすべてのロードバランサ タイプの一覧を明示的に指定する必要があります。デフォルトでは、すべての種類のロードバランサの作成が許可されています。
許可値または拒否値のリストは、ロードバランサの文字列名として識別される必要があります。また、次のリストにある値のみを含めることができます。
  • INTERNAL_TCP_UDP
  • INTERNAL_HTTP_HTTPS
  • GLOBAL_INTERNAL_MANAGED_HTTP_HTTPS
  • GLOBAL_INTERNAL_MANAGED_TCP_PROXY
  • REGIONAL_INTERNAL_MANAGED_TCP_PROXY
  • EXTERNAL_NETWORK_TCP_UDP
  • EXTERNAL_TCP_PROXY
  • EXTERNAL_SSL_PROXY
  • EXTERNAL_HTTP_HTTPS
  • EXTERNAL_MANAGED_HTTP_HTTPS
  • GLOBAL_EXTERNAL_MANAGED_HTTP_HTTPS
  • GLOBAL_EXTERNAL_MANAGED_TCP_PROXY
  • GLOBAL_EXTERNAL_MANAGED_SSL_PROXY
  • REGIONAL_EXTERNAL_MANAGED_TCP_PROXY

    • すべての内部または外部のロードバランサ タイプを含めるには、「in:」接頭辞に「INTERNAL」または「EXTERNAL」を続けて使用します。たとえば、「in:INTERNAL」を許可すると、上記のリストにある INTERNAL を含むすべてのロードバランサ タイプが許可されます。
    constraints/compute.restrictLoadBalancerCreationForTypes     		"is:"、"in:"
    Compute Engine Confidential Computing 以外を制限する このリスト型制約の拒否リストでは、Confidential Computing を有効にしてすべての新しいリソースを作成する必要がある一連のサービスを定義します。デフォルトでは、新しいリソースは Confidential Computing を使用する必要はありません。このリスト型制約の適用中は、リソースのライフサイクル全体で Confidential Computing を無効にすることはできません。既存のリソースは、引き続き通常どおり動作します。サービスの拒否リストは、API の文字列名として識別される必要があります。さらに、以下のリストにある明示的な拒否値のみを含めることができます。現在、API を明示的に許可する機能はサポートされていません。このリストにない API を明示的に拒否すると、エラーが発生します。サポートされている API のリスト: [compute.googleapis.com, container.googleapis.com]
    constraints/compute.restrictNonConfidentialComputing    		 "is:"
    Compute Engine Partner Interconnect の使用の制限 このリスト型制約は、Partner Interconnect の使用が許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
    constraints/compute.restrictPartnerInterconnectUsage     		"is:"、"under:"
    Compute Engine 許可される Private Service Connect コンシューマの制限 このリスト型制約は、プロデューサーの組織またはプロジェクト内のサービス アタッチメントに接続できる組織、フォルダ、プロジェクトを定義します。許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または under:projects/PROJECT_ID という形式で識別される必要があります。デフォルトでは、すべての接続が許可されます。
    constraints/compute.restrictPrivateServiceConnectConsumer     		"is:"、"under:"
    Compute Engine 許可される Private Service Connect プロデューサーを制限する このリスト型制約は、Private Service Connect コンシューマが接続できるサービス アタッチメントを定義します。この制約は、エンドポイントまたはバックエンドが参照するサービス アタッチメントの組織、フォルダ、プロジェクト リソースに基づいて、Private Service Connect エンドポイントまたはバックエンドのデプロイをブロックします。許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または under:projects/PROJECT_ID という形式で識別される必要があります。デフォルトでは、すべての接続が許可されます。
    constraints/compute.restrictPrivateServiceConnectProducer     		"is:"、"under:"
    Compute Engine IP アドレスの種類に基づいてプロトコル転送を制限する このリスト型制約は、ユーザーが作成できるターゲット インスタンスを持つプロトコル転送ルール オブジェクトのタイプを定義します。この制約が適用される場合、ターゲット インスタンスを持つ新しい転送ルール オブジェクトは、指定されたタイプに基づいて、内部 IP アドレスまたは外部 IP アドレスに限定されます。許可または拒否するタイプは、明示的に指定する必要があります。デフォルトでは、ターゲット インスタンスで内部および外部プロトコル転送ルール オブジェクトの両方を作成できます。
    許可または拒否される値のリストには、以下のリストの値のみを含めることができます。
    • INTERNAL
    • EXTERNAL
    .
    constraints/compute.restrictProtocolForwardingCreationForTypes     		"is:"
    Compute Engine 共有 VPC バックエンド サービスを制限する このリスト型制約は、適格リソースで使用できる一連の共有 VPC バックエンド サービスを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースは、すべての共有 VPC バックエンド サービスを使用できます。バックエンド サービスの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、projects/PROJECT_ID/regions/REGION/backendServices/BACKEND_SERVICE_NAME、または projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。
    constraints/compute.restrictSharedVpcBackendServices     		"is:"、"under:"
    Compute Engine 共有 VPC ホスト プロジェクトの制限 このリスト型制約は、このリソースと同じ位置かその下にあるプロジェクトで接続先にできる、一連の共有 VPC ホスト プロジェクトを定義します。デフォルトでは、プロジェクトは同じ組織内の任意のホスト プロジェクトに接続して、サービス プロジェクトになることができます。許可リストまたは拒否リスト内のプロジェクト、フォルダ、組織は、リソース階層でそれらの下にあるすべてのオブジェクトに影響を及ぼします。また、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。
    constraints/compute.restrictSharedVpcHostProjects     		"is:"、"under:"
    Compute Engine 共有 VPC サブネットワークの制限 このリスト型制約は、適格リソースで使用できる一連の共有 VPC サブネットワークを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースはすべての共有 VPC サブネットワークを使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME という形式で指定する必要があります。
    constraints/compute.restrictSharedVpcSubnetworks     		"is:"、"under:"
    Compute Engine VPC ピアリング使用量の制限 このリスト型制約では、このプロジェクト、フォルダ、組織に属する VPC ネットワークとピアリングできる一連の VPC ネットワークを定義します。デフォルトでは、あるネットワークのネットワーク管理者は、他のすべてのネットワークとピアリングできます。ネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
    constraints/compute.restrictVpcPeering     		"is:"、"under:"
    Compute Engine VPN ピア IP の制限 このリスト型制約は、VPN ピア IP として構成できる一連の有効な IP アドレスを定義します。デフォルトでは、すべての IP を VPC ネットワークの VPN ピア IP にすることができます。IP アドレスの許可リストや拒否リストは、IP_V4_ADDRESS または IP_V6_ADDRESS の形式で有効な IP アドレスとして指定する必要があります。
    constraints/compute.restrictVpnPeerIPs     		"is:"
    Compute Engine 新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定します 「True」に設定すると、新しく作成したプロジェクトでゾーン DNS がデフォルトで使用されます。デフォルトではこの制約は「False」に設定され、新しく作成したプロジェクトでデフォルトの DNS タイプが使用されます。
    constraints/compute.setNewProjectDefaultToZonalDNSOnly     		"is:"
    Compute Engine 共有予約オーナー プロジェクト このリスト型制約は、組織内で共有予約を作成および所有できる一連のプロジェクトを定義します。共有予約はローカルの予約に似ていますが、オーナー プロジェクト以外に、リソース階層にある他の Compute Engine プロジェクトからも使用可能であるという点が異なります。共有予約にアクセスをできるプロジェクトのリストは、projects/PROJECT_NUMBER または under:projects/PROJECT_NUMBER の形式にする必要があります。
    constraints/compute.sharedReservationsOwnerProjects     		"is:"、"under:"
    Compute Engine デフォルト ネットワークの作成をスキップ このブール値制約を True に設定した場合、Google Cloud Platform プロジェクト リソースの作成時に、デフォルトのネットワークと関連リソースの作成がスキップされます。デフォルトでは、プロジェクトの作成時にデフォルトのネットワークと補助的リソースが自動的に作成されます。

    constraints/compute.skipDefaultNetworkCreation     		"is:"
    Compute Engine Compute ストレージ リソースの使用制限（Compute Engine のディスク、イメージ、スナップショット） このリスト型制約は、Compute Engine のストレージ リソースの使用を許可される一連のプロジェクトを定義します。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは誰でも Compute Engine のリソースにアクセスできます。この制約を使用する場合、ユーザーには Cloud IAM のアクセス許可が必要であり、リソースへのアクセスが制約で制限されていてはなりません。
    許可リストまたは拒否リストで指定するプロジェクト、フォルダ、組織は、under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID の形式である必要があります。

    constraints/compute.storageResourceUseRestrictions     		"is:"、"under:"
    Compute Engine 信頼できるイメージ プロジェクトを定義する このリスト型制約は、Compute Engine のイメージ保存やディスク インスタンス化に使用できる一連のプロジェクトを定義します。
    デフォルトでは、イメージを公開で共有しているかユーザーと明示的に共有している任意のプロジェクト内のイメージから、インスタンスを作成できます。
    パブリッシャー プロジェクトの許可リストまたは拒否リストは、projects/PROJECT_ID の形式の文字列である必要があります。この制約がアクティブな場合は、信頼できるプロジェクト内のイメージのみが、新しいインスタンスのブートディスクのソースとして許可されます。

    constraints/compute.trustedImageProjects     		"is:"
    Compute Engine VM IP 転送の制限 このリスト型制約は、IP 転送を有効にできる一連の VM インスタンスを定義します。デフォルトでは、すべての VM がすべての仮想ネットワークで IP 転送を有効にすることができます。VM インスタンスは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。
    constraints/compute.vmCanIpForward     		"is:"、"under:"
    Compute Engine VM インスタンス用に許可される外部 IP を定義する このリスト型制約は、外部 IP アドレスの使用が許可されている一連の Compute Engine VM インスタンスを定義します。
    デフォルトでは、すべての VM インスタンスで外部 IP アドレスの使用が許可されます。
    VM インスタンスの許可リストまたは拒否リストは、projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

    constraints/compute.vmExternalIpAccess という形式の VM インスタンス名で識別する必要があります。    		 "is:"
    Compute Engine グローバル リソースでの Identity-Aware Proxy（IAP）の有効化を無効にする このブール型制約を適用すると、グローバル リソースで Identity-Aware Proxy を有効にできなくなります。リージョン リソースでの IAP の有効化は、この制約で制限されることはありません。
    デフォルトでは、グローバル リソースで IAP を有効にすることができます。
    constraints/iap.requireGlobalIapWebDisabled     		"is:"
    Google Kubernetes Engine GKE の診断的管理アクセス経路を無効にします。 このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約が適用されると、Assured Workloads の要件を遵守しない診断やその他のカスタマー サポートのユースケースのすべてのアクセスパスが無効になります。
    constraints/container.restrictNoncompliantDiagnosticDataAccess     		"is:"
    Dataform Dataform のリポジトリの git リモートを制限する このリスト型制約は、Dataform プロジェクトのリポジトリで通信できる一連のリモートを定義します。すべてのリモートとの通信をブロックするには、値を Deny all に設定します。この制約は過去に遡って適用され、違反している既存のリポジトリに対する通信はブロックされます。エントリは、Dataform で指定された形式と同じ形式の信頼できるリモートへのリンクである必要があります。
    デフォルトでは、Dataform プロジェクトのリポジトリは任意のリモートと通信できます。
    constraints/dataform.restrictGitRemotes     		"is:"
    Datastream Datastream - パブリック接続方法のブロック デフォルトでは、Datastream 接続プロファイルはパブリックまたはプライベート接続方法で作成できます。この組織ポリシーにブール型制約が適用される場合、接続プロファイルの作成に使用できるのはプライベート接続方法（VPC ピアリングなど）のみです。
    constraints/datastream.disablePublicConnectivity     		"is:"
    重要な連絡先 ドメインで制限された連絡先 このリスト型制約は、[重要な連絡先] に追加できるメールアドレスのドメインのセットを定義します。
    デフォルトでは、すべてのドメインのメールアドレスを [重要な連絡先] に追加できます。
    許可リストまたは拒否リストには、@example.com という形式の 1 つまたは複数のドメインを指定する必要があります。この制約が有効で、許可されている値で構成されている場合、許可されたドメインのリスト内のいずれかのエントリとサフィックスが一致するメールアドレスのみが、Essential Contacts に追加されます。
    この制約は既存の連絡先の更新や削除には影響しません。
    constraints/essentialcontacts.allowedContactDomains     		"is:"
    重要な連絡先 プロジェクトのセキュリティの連絡先を無効にする このブール型制約が適用されると、組織のポリシーの管理者が、組織レベルまたはフォルダレベルで割り当てられた連絡先のみがセキュリティ通知を受信できるようにします。具体的には、この制約を適用すると、連絡先にプロジェクト リソースも親として含まれている場合、プロジェクト オーナーと連絡先管理者は、SECURITY や ALL カテゴリを含む notification_category_subscriptions フィールドに重要な連絡先を作成、更新できなくなります。
    constraints/essentialcontacts.disableProjectSecurityContacts     		"is:"
    Firestore インポート / エクスポート用に必要な Firestore サービス エージェント このブール型制約を適用する場合は、Firestore のインポートとエクスポートで Firestore サービス エージェントを使用する必要があります。
    Firestore のインポートとエクスポートは、デフォルトで App Engine サービス アカウントを使用している場合があります。
    今後、Firestore はインポートとエクスポートに App Engine サービス アカウントを使用しなくなり、すべてのアカウントが Firestore サービス エージェントに移行する必要があります。移行後は、この制約は不要になります。

    constraints/firestore.requireP4SAforImportExport     		"is:"
    Cloud Healthcare Cloud Healthcare API の Cloud Logging を無効にする このブール型制約を適用すると、Cloud Healthcare API の Cloud Logging が無効になります。
    監査ログはこの制約の影響を受けません。
    制約が適用される前に Cloud Healthcare API 向けに生成された Cloud ログは削除されず、引き続きアクセス可能です。

    constraints/gcp.disableCloudLogging     		"is:"
    Identity and Access Management OAuth 2.0 アクセス トークンの存続期間を最大 12 時間延長することを許可する このリスト型制約は、存続期間が最大 12 時間の OAuth 2.0 アクセス トークンを付与できる一連のサービス アカウントを定義します。デフォルトでは、これらのアクセス トークンの最大存続期間は 1 時間です。
    サービス アカウントの許可リストまたは拒否リストには、1 つ以上のサービス アカウントのメールアドレスを指定する必要があります。
    constraints/iam.allowServiceAccountCredentialLifetimeExtension     		"is:"
    Identity and Access Management ドメインで制限された共有 このリスト型制約は、プリンシパルを IAM ポリシーに追加できる 1 つ以上の Cloud Identity または Google Workspace のお客様 ID を定義します。
    デフォルトでは、すべてのユーザー ID を IAM ポリシーに追加できます。この制約では使用できる値のみを定義でき、拒否値はサポートされません。
    この制約が有効な場合、許可された顧客 ID に属するプリンシパルのみを IAM ポリシーに追加できます。
    constraints/iam.allowedPolicyMemberDomains     		"is:"
    Identity and Access Management Audit Logging の除外を無効にする このブール型制約を適用すると、監査ログから追加のプリンシパルが除外されなくなります。この制約は、制約を適用する前に存在していた監査ログでの除外には影響しません。
    constraints/iam.disableAuditLoggingExemption     		"is:"
    Identity and Access Management プロジェクト間サービス アカウントの使用の無効化 適用した場合、サービス アカウントは、そのサービス アカウントと同じプロジェクトで実行中のジョブ（VM、関数など）にのみ（ServiceAccountUser ロールを使用して）デプロイできます。
    constraints/iam.disableCrossProjectServiceAccountUsage     		"is:"
    Identity and Access Management サービス アカウント作成の無効化 このブール型制約が True に設定されている場合、サービス アカウントの作成が無効になります。
    デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントを作成できます。

    constraints/iam.disableServiceAccountCreation    		 "is:"
    Identity and Access Management サービス アカウント キーの作成を無効化 このブール型制約を True に設定すると、サービス アカウントの外部キーの作成が無効になります。
    デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントの外部キーを作成できます。

    constraints/iam.disableServiceAccountKeyCreation    		 "is:"
    Identity and Access Management サービス アカウント キー アップロードの無効化 このブール型制約が「True」に設定されているサービス アカウントに公開鍵をアップロードできるようにする機能は、このブール型制約により無効になります。
    デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいて公開鍵をサービス アカウントにアップロードできます。
    constraints/iam.disableServiceAccountKeyUpload     		"is:"
    Identity and Access Management Workload Identity クラスタ作成の無効化 このブール型制約を True に設定した場合、すべての新しい GKE クラスタでは作成時に Workload Identity が無効である必要があります。Workload Identity がすでに有効である既存の GKE クラスタは、引き続き通常どおり動作します。デフォルトでは、すべての GKE クラスタに対して Workload Identity を有効にできます。
    constraints/iam.disableWorkloadIdentityClusterCreation     		"is:"
    Identity and Access Management サービス アカウント キーの有効期限（時間） このリスト型制約は、サービス アカウント キーの有効期限に許可される最大期間を定義します。デフォルトでは、作成した鍵に有効期限はありません。
    許可期間は時間単位で指定され、以下のリストから指定する必要があります。許容値を 1 つだけ指定できます。拒否値はサポートされません。このリストにない期間を指定すると、エラーが発生します。
    • 1h
    • 8h
    • 24h
    • 168h
    • 336h
    • 720h
    • 1440h
    • 2160h
    この制約を適用するには、Cloud コンソールで親ポリシーを置き換えるように設定するか、gcloud CLI を使用する場合はポリシー ファイルで inheritFromParent=false を設定する必要があります。この制約を親ポリシーと統合することはできません。制約が遡って適用されることはなく、既存のキーは変更されません。
    constraints/iam.serviceAccountKeyExpiryHours     		"is:"
    Identity and Access Management Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント ID のリスト。
    constraints/iam.workloadIdentityPoolAwsAccounts     		"is:"
    Identity and Access Management Cloud IAM のワークロード向けに許可されている外部の ID プロバイダ Cloud IAM 内のワークロード認証用に構成可能な ID プロバイダ。URI/URL により指定します。
    constraints/iam.workloadIdentityPoolProviders    		 "is:"
    Anthos Service Mesh マネージド コントロール プレーン。 Anthos Service Mesh マネージド コントロール プレーンの許可済み VPC Service Controls モード この制約によって、新しい Anthos Service Mesh マネージド コントロール プレーンのプロビジョニング時に設定できる VPC Service Controls モードが決まります。有効な値は「NONE」と「COMPATIBLE」です。
    constraints/meshconfig.allowedVpcscModes     		"is:"
    Resource Manager 共有 VPC プロジェクト リーエンの削除を制限 このブール型制約を True に設定すると、組織レベルの権限なしで共有 VPC ホスト　プロジェクト リーエンを削除できるユーザーが制限されます。
    　デフォルトでは、リーエンの更新権限を持つすべてのユーザーに共有 VPC ホスト　プロジェクト リーエンの削除が許可されます。この制約を適用するには、組織レベルで権限を付与する必要があります。
    constraints/compute.restrictXpnProjectLienRemoval     		"is:"
    Resource Manager プロジェクト間サービス アカウントのリーエンの削除の制限 このブール型制約が「適用」された場合、ユーザーは組織レベルの権限がなければ、プロジェクト間サービス アカウントのリーエンを削除できなくなります。デフォルトでは、リーエンの更新権限を持つすべてのユーザーがプロジェクト間サービス アカウントのリーエンを削除できます。この制約を適用するには、組織レベルで権限を付与する必要があります。
    constraints/iam.restrictCrossProjectServiceAccountLienRemoval     		"is:"
    Resource Manager リソースクエリの公開設定を制限する このリスト型制約を組織リソースに適用すると、この制約が適用される組織のドメインのユーザーに関して、リスト取得と検索のメソッドで返される Google Cloud リソースのセットが定義されます。これを使用すると、リソース選択ツール、検索、[リソースの管理] ページなど、Cloud Console のさまざまな部分に表示されるリソースを制限できます。この制約は組織レベルのみで評価されます。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
    constraints/resourcemanager.accessBoundaries     		"is:"、"under:"
    Resource Manager 組織間の移動には有効なサービスの許可リストが必要 このリスト型制約は、サービスが有効になっているプロジェクトで組織間の移動が可能かどうかを確認するチェックとして機能します。サポートされているサービスが有効になっているリソースには、この制約を適用する必要があります。また、そのサポートされているサービスが、組織間での移動が可能となるよう、許可された値に含まれていることも必要です。サポートされている使用可能なサービス用に許可されている値の現在のリストは次のとおりです。
    • SHARED_VPC

    この制約により、constraints/resourcemanager.allowedExportDestinations をさらに制御できます。この list_constraint はデフォルトでは空であり、エクスポート対象のリソースでサポートされているサービスが有効になっていない限り、組織間の移動はブロックされません。この制約により、別の組織への移動の際に特に注意を要する機能を使用して、リソースを細かく制御できます。デフォルトでは、サポートされているサービスが有効になっているリソースは、組織間で移動できません。
    constraints/resourcemanager.allowEnabledServicesForExport     		"is:"
    Resource Manager リソースのエクスポートが許可されている宛先 このリスト型制約は、リソースを移動できる外部組織を定義し、他のすべての組織へのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用すると、そのリソースは制約で明示的に許可されている組織にのみ移動できます。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
    constraints/resourcemanager.allowedExportDestinations     		"is:"、"under:"
    Resource Manager リソースのインポートを許可されている送信元 このリスト型制約は、リソースのインポートが可能な外部組織を定義し、他のすべての組織からのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用する場合、このリソースで直接インポートしたリソースを、この制約で明示的に許可する必要があります。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
    constraints/resourcemanager.allowedImportSources     		"is:"、"under:"
    Cloud Run 許可される Binary Authorization ポリシー（Cloud Run） このリスト型制約は、Cloud Run リソースに指定できる Binary Authorization ポリシー名のセットを定義します。デフォルト ポリシーを許可または禁止するには、値「default」を使用します。1 つ以上のカスタム プラットフォームのポリシーを許可または禁止するには、そのような各ポリシーのリソース ID を個別に追加する必要があります。
    constraints/run.allowedBinaryAuthorizationPolicies     		"is:"
    Cloud Run 許可される上り（内向き）設定（Cloud Run） このリスト型制約は、Cloud Run サービスに対して許可される上り（内向き）設定を定義します。この制約が適用されると、許可された値のいずれかに一致する上り（内向き）設定がサービスで必要になります。この制約に従わない上り（内向き）設定がある既存の Cloud Run サービスは、サービスの上り（内向き）設定がこの制約に従うように変更されるまで、引き続き更新できます。サービスがこの制約に従うようになると、サービスはこの制約で許可されている上り（内向き）設定のみを使用できます。
    デフォルトでは、Cloud Run サービスは任意の上り（内向き）設定を使用できます。
    許可リストには、サポートされている上り（内向き）設定値（all、internal、internal-and-cloud-load-balancing）を含める必要があります。

    constraints/run.allowedIngress     		"is:"
    Cloud Run 許可される VPC 下り（外向き）設定（Cloud Run） このリスト型制約は、Cloud Run リソースに指定できる VPC 下り（外向き）設定を定義します。この制約が適用される場合は、サーバーレス VPC アクセス コネクタまたは直接 VPC 下り（外向き）を有効にして Cloud Run リソースをデプロイする必要があります。また、許可された値のいずれかに一致する VPC 下り（外向き）設定が必要になります。
    デフォルトでは、Cloud Run のリソースは VPC 下り（外向き）設定を、サポートされている任意の値に設定できます。
    許可リストには、サポートされている VPC 下り（外向き）設定の値（private-ranges-only と all-traffic）を含める必要があります。

    既存の Cloud Run サービスの場合、すべての新しいリビジョンはこの制約に従う必要があります。この制約に従わないトラフィックを処理するリビジョンの既存のサービスは、この制約に従わないリビジョンに引き続きトラフィックを移行できます。サービスのすべてのトラフィックが、この制約に従ったリビジョンによって処理されると、それ以降のトラフィックの移行では、この制約に従うリビジョンにのみトラフィックを移行する必要があります。
    constraints/run.allowedVPCEgress     		"is:"
    Service Consumer Management デフォルトのサービス アカウントに対する IAM ロールの自動付与の無効化 このブール型制約を適用すると、プロジェクトで作成されたデフォルト の App Engine サービス アカウントと Compute Engine サービス アカウントは、アカウント作成時にプロジェクトの IAM ロールを自動的に付与しなくなります。
    デフォルトでは、これらのサービス アカウントには作成時に編集者のロールが自動的に付与されます。
    constraints/iam.automaticIamGrantsForDefaultServiceAccounts     		"is:"
    Service Control TLS バージョンの制限 この制約は、この制約が適用される組織、フォルダ、またはプロジェクト、あるいはそのリソースのリソース階層内での子で使用できない TLS バージョンのセットを定義します。
    デフォルトでは、すべての TLS バージョンが許可されます。TLS バージョンは、拒否リストでのみ指定でき、TLS_VERSION_1 または TLS_VERSION_1_1 の形式で識別する必要があります。
    この制約は、TLS を使用するリクエストにのみ適用されます。暗号化されていないリクエストの制限には使用されません。
    詳細については、https://cloud.google.com/assured-workloads/docs/restrict-tls-versions をご覧ください。
    constraints/gcp.restrictTLSVersion     		"is:"
    Cloud Spanner コンプライアンス ワークロードの高度なサービス管理を有効にする このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約が適用されると、支持性の特性が多少損なわれ、プロビジョニングされたリソースが、Assured Workloads の高度な主権要件に厳密に従います。このポリシーは既存のプロジェクトに適用されますが、すでにプロビジョニングされているリソースには影響しません。すなわち、ポリシーの変更は、ポリシーの変更後に作成されたリソースにのみ反映されます。
    constraints/spanner.assuredWorkloadsAdvancedServiceControls     		"is:"
    Cloud Spanner ロケーションが選択されていない場合は、Cloud Spanner マルチリージョンを無効にします このポリシーを構成または変更しないでください。この制約は、Assured Workloads のオンボーディング中に自動的に構成され、Assured Workloads の高度な規制管理のみを目的としています。このブール型制約を適用すると、ロケーションが選択されていない限り、マルチリージョン インスタンス構成を使用して Spanner インスタンスを作成できなくなります。現在、Cloud Spanner はロケーションの選択をまだサポートしていないため、すべてのマルチリージョンは許可されません。将来的に、Spanner では、ユーザーがマルチリージョンのロケーションを選択する機能を提供する予定です。この制約が遡って適用されることはありません。すでに作成された Spanner インスタンスは影響を受けません。
    constraints/spanner.disableMultiRegionInstanceIfNoLocationSelected     		"is:"
    Cloud Storage Google Cloud Platform - 詳細な監査ロギングモード 詳細な監査ロギングモードが適用されている場合は、リクエストとレスポンスの両方が Cloud Audit Logs に含まれます。この機能を変更すると、反映されるまで 10 分ほどかかることがあります。SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d)、FINRA Rule 4511(c) などのコンプライアンスが目標である場合は、この組織ポリシーをバケットロックと連携して使用することを強くおすすめします。現時点では、このポリシーは Cloud Storage のみでサポートされています。
    constraints/gcp.detailedAuditLoggingMode     		"is:"
    Cloud Storage 公開アクセスの防止を適用する 公開アクセスの防止を適用して、Cloud Storage データが一般に公開されないようにします。このガバナンス ポリシーは、既存のリソースや将来のリソースが公共のインターネットを介してアクセスされないように、allUsers と allAuthenticatedUsers にアクセス権を付与する ACL と IAM 権限を無効にしてブロックします。組織全体（推奨）、特定のプロジェクト、特定のフォルダにこのポリシーを適用することによって、データが公開されないようにできます。
    このポリシーは、一般公開につながる既存の権限をオーバーライドします。このポリシーを有効にすると、既存のバケットとオブジェクトに対する公開アクセスが取り消されます。
    constraints/storage.publicAccessPrevention     		"is:"
    Cloud Storage Cloud Storage - 認証タイプを制限する この制約は、Cloud Storage で組織のストレージ リソースへのアクセスが制限される認証タイプを定義します。サポートされる値は、USER_ACCOUNT_HMAC_SIGNED_REQUESTS と SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS です。in:ALL_HMAC_SIGNED_REQUESTS を使用して両方を含めます。
    constraints/storage.restrictAuthTypes     		"is:"、"in:"
    Cloud Storage 保持ポリシー期間（秒） このリスト型制約は、Cloud Storage バケットに設定できる保持ポリシーの期間を定義します。
    デフォルトでは、組織のポリシーが指定されない場合、任意の期間の保持ポリシーを Cloud Storage バケットに格納できます。
    許可期間のリストは、保持ポリシーを秒単位で表す、0 より大きい正の整数値として指定される必要があります。
    組織リソース内のバケットに対する挿入、更新、またはパッチ オペレーションには、制約と一致する保持ポリシー期間を設定する必要があります。
    この制約は遡って適用されることはありません。新しい組織ポリシーが適用されても、既存のバケットの保持ポリシーは変更されず有効なままです。

    constraints/storage.retentionPolicySeconds     		"is:"
    Cloud Storage 均一なバケットレベルのアクセスの適用 このブール型制約を True に設定すると、バケットで、均一なバケットレベルのアクセスを使用することが必須となります。組織リソース内に新規作成するバケットでは、均一なバケットレベルのアクセスを有効にする必要があります。組織リソース内の既存バケットで、均一なバケットレベルのアクセスを無効にすることはできません。
    この制約は遡って適用されることはありません。均一なバケットレベルのアクセスが無効になっている既存のバケットでは、無効なままです。この制約のデフォルト値は False です。
    均一なバケットレベルのアクセスでは、バケット内の Cloud Storage オブジェクトに割り当てられた ACL の評価は無効になります。そのため、IAM ポリシーによってのみ、これらのバケット内のオブジェクトへのアクセス権が付与されます。

    constraints/storage.uniformBucketLevelAccess     		"is:"

    入門ガイド

    個別の制約を使用する方法については、以下をご覧ください。

    制約 入門ガイド
    constraints/cloudbuild.allowedIntegrations 組織のポリシーに基づくゲートビルド
    constraints/cloudfunctions.allowedIngressSettings VPC Service Controls を使用する
    constraints/cloudfunctions.allowedVpcConnectorEgressSettings VPC Service Controls を使用する
    constraints/cloudfunctions.requireVPCConnector VPC Service Controls を使用する
    constraints/gcp.restrictNonCmekServices CMEK の組織のポリシー
    constraints/gcp.restrictCmekCryptoKeyProjects CMEK の組織のポリシー
    constraints/gcp.restrictTLSVersion TLS バージョンの制限
    constraints/compute.restrictPrivateServiceConnectConsumer
    constraints/compute.restrictPrivateServiceConnectProducer    		 Private Service Connect コンシューマーのセキュリティを管理する
    constraints/compute.restrictCloudNATUsage Cloud NAT の使用制限
    constraints/compute.restrictLoadBalancerCreationForTypes Cloud Load Balancing の制約
    constraints/compute.restrictProtocolForwardingCreationForTypes プロトコル転送の制約
    constraints/compute.restrictDedicatedInterconnectUsage
    constraints/compute.restrictPartnerInterconnectUsage    		 Cloud Interconnect の使用の制限
    constraints/compute.restrictVpnPeerIPs Cloud VPN トンネルを経由したピア IP アドレスの制限
    constraints/compute.trustedImageProjects イメージへのアクセスの制限
    constraints/compute.vmExternalIpAccess VM の外部 IP アクセスの無効化
    constraints/compute.requireVpcFlowLogs VPC フローログの組織のポリシーに関する制約
    constraints/dataform.restrictGitRemotes リモート リポジトリを制限する
    constraints/gcp.restrictServiceUsage リソース使用量の制限
    constraints/iam.allowedPolicyMemberDomains ドメイン別の ID の制限
    constraints/iam.allowServiceAccountCredentialLifetimeExtension OAuth 2.0 アクセス トークンの存続時間を延長する
    constraints/iam.disableCrossProjectServiceAccountUsage サービス アカウントの別のプロジェクト内のリソースへのアタッチ
    constraints/iam.disableServiceAccountCreation サービス アカウントの作成の制限
    constraints/iam.disableServiceAccountKeyCreation サービス アカウント キーの作成の制限
    constraints/iam.disableServiceAccountKeyUpload サービス アカウント キーのアップロードを制限する
    constraints/iam.disableWorkloadIdentityClusterCreation Workload Identity クラスタの作成を制限する
    constraints/iam.restrictCrossProjectServiceAccountLienRemoval サービス アカウントの別のプロジェクト内のリソースへのアタッチ
    constraints/gcp.detailedAuditLoggingMode
    constraints/storage.retentionPolicySeconds
    constraints/storage.uniformBucketLevelAccess
    constraints/storage.publicAccessPrevention    		 Cloud Storage の組織のポリシーに関する制約
    constraints/gcp.disableCloudLogging Cloud Logging を無効にする
    constraints/gcp.resourceLocations リソース ロケーションの制限
    constraints/resourcemanager.accessBoundaries ユーザーのプロジェクト公開設定の制限
    constraints/run.allowedIngress VPC Service Controls を使用する
    constraints/run.allowedVPCEgress VPC Service Controls を使用する

    詳細

    組織ポリシーの基本コンセプトの詳細については、以下をご覧ください。