組織のポリシーの制約

使用可能な制約

次の制約を使用するポリシーを指定できます。

複数の Google Cloud サービスでサポートされる制約

制約	説明	サポートされている接頭辞
Google Cloud Platform - リソース ロケーションの制限	このリスト型制約は、ロケーション ベースの GCP リソースを作成できる一連のロケーションを定義します。 デフォルトでは、任意のロケーションにリソースを作成できます。 この制約に関するポリシーでは、許可または拒否するロケーションとして、asia や europe などのマルチリージョン、us-east1 や europe-west1 などのリージョンを指定できます。マルチリージョンを許可または拒否しても、それらに含まれるすべてのサブロケーションまで許可または拒否されることにはなりません。たとえば、ポリシーで us マルチリージョン（一部のストレージ サービスなどのマルチリージョン リソースを指す）が拒否されていても、リージョン ロケーション us-east1 には依然としてリソースを作成できます。一方、in:us-locations グループは us リージョン内のすべてのロケーションを含み、すべてのリージョンをブロックするために使用できます。 値グループを使用してポリシーを定義することをおすすめします。 値グループ（リソースのロケーションを簡単に定義できるようにするために Google によってキュレートされた、ロケーションのコレクション）を指定できます。組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加し、その後に値グループを配置します。 たとえば、米国内にのみ存在するリソースを作成するには、使用可能な値のリストに in:us-locations を設定します。 ロケーション ポリシーで suggested_value フィールドが使用されている場合は、リージョンを設定する必要があります。指定した値がリージョンの場合は、ゾーンリソースの UI にこのリージョン内のすべてのゾーンが事前に入力されます。 constraints/gcp.resourceLocations	"is:"、"in:"
許可される Google Cloud API とサービスを制限する	このリスト型制約は、このリソースで有効にできるサービスと、そのサービスの API を制限します。デフォルトでは、すべてのサービスが許可されます。 サービスの拒否リストは、以下のリストから指定する必要があります。現在、この制約を介した API を明示的に有効にすることはできません。このリストにない API を指定すると、エラーが発生します。 compute.googleapis.com deploymentmanager.googleapis.com dns.googleapis.com doubleclicksearch.googleapis.com replicapool.googleapis.com replicapoolupdater.googleapis.com resourceviews.googleapis.com この制約は遡って適用されることはありません。この制約が適用された時点でサービスがリソース上ですでに有効になっている場合、サービスは有効のままです。 constraints/serviceuser.services	"is:"

特定のサービスの制約

サービス	制約	説明	サポートされている接頭辞
App Engine	ソースコードのダウンロードを無効にする	以前に App Engine にアップロードされたソースコードのダウンロードを無効にします。 constraints/appengine.disableCodeDownload	"is:"
BigQuery	BigQuery Omni for Cloud AWS を無効にする	このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Amazon Web Services 上のデータを BigQuery Omni で処理できなくなります。 constraints/bigquery.disableBQOmniAWS	"is:"
BigQuery	BigQuery Omni for Cloud Azure を無効にする	このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Microsoft Azure で BigQuery Omni を使用してデータを処理できなくなります。 constraints/bigquery.disableBQOmniAzure	"is:"
Cloud Build	許可されたワーカープール（Cloud Build）	このリスト型制約は、Cloud Build を使用してビルドを実行する Cloud Build ワーカープールを定義します。この制約が適用されると、許可された値のいずれかに一致するワーカープールでビルドすることが要求されます。 デフォルトでは、Cloud Build はすべてのワーカープールを使用できます。 ワーカープールの許可リストの形式は、「under:organizations/ORGANIZATION_ID」、「under:folders/FOLDER_ID」、「under:projects/PROJECT_ID」、または「projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID」です。 constraints/cloudbuild.allowedWorkerPools	"is:"、"under:"
Cloud Functions	許可されたワーカープール（Cloud Build）	このリスト型制約は、Cloud Build を使用してビルドを実行する Cloud Build ワーカープールを定義します。この制約が適用されると、許可された値のいずれかに一致するワーカープールでビルドすることが要求されます。 デフォルトでは、Cloud Build はすべてのワーカープールを使用できます。 ワーカープールの許可リストの形式は、「under:organizations/ORGANIZATION_ID」、「under:folders/FOLDER_ID」、「under:projects/PROJECT_ID」、または「projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID」です。 constraints/cloudbuild.allowedWorkerPools	"is:"、"under:"
Cloud Functions	許可される上り（内向き）設定（Cloud Functions）	このリスト制約は、クラウド機能のデプロイについて許可される Ingress の設定を定義します。この制約が適用される場合、許可された値のいずれかに一致する Ingress の設定が関数に必要です。 デフォルトでは、Cloud Functions は任意の上り（内向き）設定を使用できます。 上り（内向き）設定は、IngressSettings 列挙型の値を使用して許可リストで指定する必要があります。 constraints/cloudfunctions.allowedIngressSettings	"is:"
Cloud Functions	許可される VPC コネクタの下り（外向き）設定（Cloud Functions）	このリスト制約は、Cloud Functions のデプロイに許可される VPC コネクタ出力設定を定義します。この制約が適用されると、Cloud Functions には許可された値の 1 つに一致する VPC コネクタ出力設定が必要になります。 デフォルトでは、Cloud Functions はすべての VPC コネクタの下り（外向き）設定を使用できます。 VPC コネクタの下り（外向き）設定は、VpcConnectorEgressSettings 列挙型の値を使用して許可リストで指定する必要があります。 constraints/cloudfunctions.allowedVpcConnectorEgressSettings	"is:"
Cloud Functions	VPC コネクタが必須（Cloud Functions）	このブール値制約により、Cloud Functions の関数をデプロイするときに VPC コネクタの設定が適用されます。この制約が適用されると、Cloud Functions は VPC コネクタを指定する必要があります。 デフォルトでは、VPC コネクタを指定するのに Cloud Functions の関数をデプロイする必要はありません。 constraints/cloudfunctions.requireVPCConnector	"is:"
Cloud SQL	Cloud SQL インスタンスにおいて、デフォルトの Google が管理する暗号化の使用を制限する	ベータ版: このブール値定数を True に設定すると、新規作成、再起動、更新されるすべての Cloud SQL インスタンスで顧客管理の暗号鍵（CMEK）の使用が必須になります。この設定は、遡って適用されることはありません。つまり、Google が管理する暗号を使用している既存のインスタンスは、更新されない限り影響を受けません。 この定数のデフォルトは False であり、Google が管理する暗号を Cloud SQL インスタンスで使用できます。 constraints/sql.disableDefaultEncryptionCreation	"is:"
Cloud SQL	Cloud SQL インスタンスに対する承認済みネットワークを制限する	このブール型制約が True に設定されている Cloud SQL インスタンスへのプロキシを経由しないデータベース アクセスに関して、承認済みネットワークの追加が制限されます。この制約は遡って適用されません。承認済みネットワークがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。 デフォルトでは、Cloud SQL インスタンスに承認済みネットワークを追加できます。 constraints/sql.restrictAuthorizedNetworks	"is:"
Cloud SQL	Cloud SQL インスタンスに対するパブリック IP のアクセスを制限する	このブール型制約が True に設定されている Cloud SQL インスタンスに対するパブリック IP の構成が制限されます。この制約は遡って適用されません。パブリック IP アクセスがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。 デフォルトでは、Cloud SQL インスタンスへのパブリック IP アクセスは許可されます。 constraints/sql.restrictPublicIp	"is:"
Compute Engine	すべての IPv6 の使用を無効にする	このブール型制約を True に設定した場合、IPv6 の使用に関連するすべての Google Compute Engine リソースの作成または更新が無効になります。 デフォルトでは、適切な Cloud IAM 権限を持つユーザーは誰でも、任意のプロジェクト、フォルダ、組織で IPv6 を使用する Google Compute Engine リソースを作成または更新できます。 この制約を設定すると、他の IPv6 に関連する組織制約（disableVpcInternalIpv6、disableVpcExternalIpv6、disableHybridCloudIpv6 など）よりも優先順位が高くなります。 constraints/compute.disableAllIpv6	"is:"
Compute Engine	Compute Engine メタデータのゲスト属性の無効化	このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM のゲスト属性への Compute Engine API アクセスが無効になります。 デフォルトでは、Compute Engine API を使用して Compute Engine VM のゲスト属性にアクセスできます。 constraints/compute.disableGuestAttributesAccess	"is:"
Compute Engine	インターネット ネットワーク エンドポイント グループの無効化	このブール型制約は、ユーザーが INTERNET_FQDN_PORT および INTERNET_IP_PORT の type でインターネット ネットワーク エンドポイント グループ（NEG）を作成できるかどうかを制限します。 デフォルトでは、適切な IAM 権限を持つすべてのユーザーは、任意のプロジェクトでインターネット NEG を作成できます。 constraints/compute.disableInternetNetworkEndpointGroup	"is:"
Compute Engine	VM のネストされた仮想化を無効にする	このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属するすべての Compute Engine VM に対するハードウェア アクセラレーションによりネストされた仮想化は無効になります。 デフォルトでは、Intel Haswell 以降の CPU プラットフォームで実行されているすべての Compute Engine VM に対して、ハードウェア アクセラレーションによりネストされた仮想化は許可されています。 constraints/compute.disableNestedVirtualization	"is:"
Compute Engine	コンシューマ向け Private Service Connect の無効化	このリスト型制約は、ユーザーが転送ルールを作成できない Private Service Connect エンドポイント タイプを定義します。この制約が適用されると、ユーザーはその Private Service Connect エンドポイント タイプに対する転送ルールを作成できなくなります。この制約が過去にさかのぼって適用されることはありません。 デフォルトでは、すべての Private Service Connect エンドポイント タイプに対して転送ルールを作成できます。 Private Service Connect エンドポイントの許可 / 拒否リストは、次のリストから指定する必要があります。 GOOGLE_APIS SERVICE_PRODUCERS 許可 / 拒否リストで GOOGLE_APIS を使用すると、Google API にアクセスするための Private Service Connect 転送ルールの作成が制限されます。許可 / 拒否リストで SERVICE_PRODUCERS を使用すると、別の VPC ネットワーク内のサービスにアクセスするための Private Service Connect 転送ルールの作成が制限されます。 constraints/compute.disablePrivateServiceConnectCreationForConsumers	"is:"
Compute Engine	VM シリアルポート アクセスを無効にする	このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM へのシリアルポート アクセスが無効になります。 デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のシリアルポート アクセスが無効になります。 constraints/compute.disableSerialPortAccess	"is:"
Compute Engine	Stackdriver への VM シリアルポート ロギングを無効化	このブール型制約は、この制約が適用されている組織、プロジェクト、フォルダに属する Compute Engine VM から Stackdriver へのシリアルポート ロギングを無効にします。 デフォルトでは、Compute Engine VM のシリアルポート ロギングは無効になっており、メタデータ属性を使用して VM 単位またはプロジェクト単位で選択して有効にできます。この制約が適用されると、新しい VM が作成されるたびに、新しい Compute Engine VM に対するシリアルポート ロギングが無効になり、ユーザーは VM（旧または新）のメタデータ属性を True に変更できなくなります。 constraints/compute.disableSerialPortLogging	"is:"
Compute Engine	VPC 外部 IPv6 の使用を無効にする	このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が EXTERNAL であるサブネットワークの作成または更新が無効になります。 デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。 constraints/compute.disableVpcExternalIpv6	"is:"
Compute Engine	VPC 内部 IPv6 使用を無効にする	このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が INTERNAL であるサブネットワークの作成または更新が無効になります。 デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。 constraints/compute.disableVpcInternalIpv6	"is:"
Compute Engine	OS ログインが必須	このブール型制約を true に設定した場合、新しく作成したすべてのプロジェクトで OS ログインが有効になります。新しいプロジェクトのすべての VM インスタンスで OS ログインが有効になります。この制約は、新規および既存のプロジェクトについて、プロジェクトまたはインスタンス レベルで OS ログインが無効なメタデータが更新されるのを防ぎます。 Compute Engine プロジェクトでは、OS Login 機能はデフォルトで無効になっています。 ノードプール バージョン 1.20.5-gke.2000 以降を実行している限定公開クラスタ内の GKE インスタンスは、OS Login をサポートしています。現在、一般公開クラスタ内の GKE インスタンスは OS Login をサポートしていません。一般公開クラスタを実行しているプロジェクトにこの制約が適用される場合、そのプロジェクトで実行される GKE インスタンスが正しく機能しない可能性があります。 constraints/compute.requireOsLogin	"is:"
Compute Engine	Shielded VM	このブール型制約を True に設定した場合、すべての新しい Compute Engine VM インスタンスでは、セキュアブート、vTPM、整合性モニタリングのオプションが有効である Shielded ディスク イメージを使用する必要があります。必要に応じて、セキュアブートは作成後に無効にできます。既存の実行中のインスタンスは、引き続き通常どおり動作します。 デフォルトでは、Compute Engine VM インスタンスを作成するために Shielded VM の機能を有効にする必要はありません。Shielded VM の機能により、VM には、検証可能な整合性と情報流出防止機能が追加されます。 constraints/compute.requireShieldedVm	"is:"
Compute Engine	Cloud NAT の使用制限	このリスト型制約は、Cloud NAT の使用を許可するサブネットワークのセットを定義します。デフォルトでは、すべてのサブネットワークで Cloud NAT を使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME という形式で識別される必要があります。 constraints/compute.restrictCloudNATUsage	"is:"、"under:"
Compute Engine	Dedicated Interconnect の使用の制限	このリスト型制約は、Dedicated Interconnect の使用を許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。 constraints/compute.restrictDedicatedInterconnectUsage	"is:"、"under:"
Compute Engine	ロードバランサの種類に基づいてロードバランサの作成を制限する	このリスト型制約は、組織、フォルダ、プロジェクトに対して作成可能な、一連のロードバランサのタイプを定義します。許可または拒否するすべてのロードバランサ タイプの一覧を明示的に指定する必要があります。デフォルトでは、すべての種類のロードバランサの作成が許可されています。 許可値または拒否値のリストは、ロードバランサの文字列名として識別される必要があります。また、次のリストにある値のみを含めることができます。 INTERNAL_TCP_UDP INTERNAL_HTTP_HTTPS EXTERNAL_NETWORK_TCP_UDP EXTERNAL_TCP_PROXY EXTERNAL_SSL_PROXY EXTERNAL_HTTP_HTTPS EXTERNAL_MANAGED_HTTP_HTTPS すべての内部または外部のロードバランサを含めるには、「in:」接頭辞に「INTERNAL」または「EXTERNAL」を続けて使用します。たとえば、「in:INTERNAL」を許可すると、上記のリストにある INTERNAL を含むすべてのロードバランサ タイプが許可されます。 constraints/compute.restrictLoadBalancerCreationForTypes	"is:"、"in:"
Compute Engine	Confidential Computing 以外を制限する	このリスト型制約の拒否リストでは、Confidential Computing を有効にしてすべての新しいリソースを作成する必要がある一連のサービスを定義します。デフォルトでは、新しいリソースは Confidential Computing を使用する必要はありません。このリスト型制約の適用中は、リソースのライフサイクル全体で Confidential Computing を無効にすることはできません。既存のリソースは、引き続き通常どおり動作します。サービスの拒否リストは、API の文字列名として識別される必要があります。さらに、以下のリストにある明示的な拒否値のみを含めることができます。現在、API を明示的に許可する機能はサポートされていません。このリストにない API を明示的に拒否すると、エラーが発生します。サポートされている API のリスト: [compute.googleapis.com, container.googleapis.com] constraints/compute.restrictNonConfidentialComputing	"is:"
Compute Engine	Partner Interconnect の使用の制限	このリスト型制約は、Partner Interconnect の使用が許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。 constraints/compute.restrictPartnerInterconnectUsage	"is:"、"under:"
Compute Engine	IP アドレスの種類に基づいてプロトコル転送を制限する	このリスト型制約は、ユーザーが作成できるターゲット インスタンスを持つプロトコル転送ルール オブジェクトのタイプを定義します。この制約が適用される場合、ターゲット インスタンスを持つ新しい転送ルール オブジェクトは、指定されたタイプに基づいて、内部 IP アドレスまたは外部 IP アドレスに限定されます。許可または拒否するタイプは、明示的に指定する必要があります。デフォルトでは、ターゲット インスタンスで内部および外部プロトコル転送ルール オブジェクトの両方を作成できます。 許可または拒否される値のリストには、以下のリストの値のみを含めることができます。 INTERNAL EXTERNAL . constraints/compute.restrictProtocolForwardingCreationForTypes	"is:"
Compute Engine	共有 VPC ホスト プロジェクトの制限	このリスト型制約は、このリソースと同じ位置かその下にあるプロジェクトで接続先にできる、一連の共有 VPC ホスト プロジェクトを定義します。デフォルトでは、プロジェクトは同じ組織内の任意のホスト プロジェクトに接続して、サービス プロジェクトになることができます。許可リストまたは拒否リスト内のプロジェクト、フォルダ、組織は、リソース階層でそれらの下にあるすべてのオブジェクトに影響を及ぼします。また、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。 constraints/compute.restrictSharedVpcHostProjects	"is:"、"under:"
Compute Engine	共有 VPC サブネットワークの制限	このリスト型制約は、適格リソースで使用できる一連の共有 VPC サブネットワークを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースはすべての共有 VPC サブネットワークを使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME という形式で指定する必要があります。 constraints/compute.restrictSharedVpcSubnetworks	"is:"、"under:"
Compute Engine	VPC ピアリング使用量の制限	このリスト型制約では、このプロジェクト、フォルダ、組織に属する VPC ネットワークとピアリングできる一連の VPC ネットワークを定義します。デフォルトでは、あるネットワークのネットワーク管理者は、他のすべてのネットワークとピアリングできます。ネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。 constraints/compute.restrictVpcPeering	"is:"、"under:"
Compute Engine	VPN ピア IP の制限	このリスト型制約は、VPN ピア IP として構成できる一連の有効な IP-v4 アドレスを定義します。デフォルトでは、すべての IP を VPC ネットワークの VPN ピア IP にすることができます。IP アドレスの許可 / 拒否リストは、IP_V4_ADDRESS の形式で有効な IP-v4 アドレスとして指定する必要があります。 constraints/compute.restrictVpnPeerIPs	"is:"
Compute Engine	新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定します	「True」に設定すると、新しく作成したプロジェクトでゾーン DNS がデフォルトで使用されます。デフォルトではこの制約は「False」に設定され、新しく作成したプロジェクトでデフォルトの DNS タイプが使用されます。 constraints/compute.setNewProjectDefaultToZonalDNSOnly	"is:"
Compute Engine	共有予約オーナー プロジェクト	このリスト型制約は、組織内で共有予約を作成および所有できる一連のプロジェクトを定義します。共有予約はローカルの予約に似ていますが、オーナー プロジェクトのみが使用可能ではなく、リソース階層にある他の Compute Engine プロジェクトにより使用可能であるという点が異なります。共有予約にアクセスをできるプロジェクトのリストは、projects/PROJECT_ID または under:projects/PROJECT_ID の形式にする必要があります。 constraints/compute.sharedReservationsOwnerProjects	"is:"、"under:"
Compute Engine	デフォルト ネットワークの作成をスキップ	このブール値制約を True に設定した場合、Google Cloud Platform プロジェクト リソースの作成時に、デフォルトのネットワークと関連リソースの作成がスキップされます。デフォルトでは、プロジェクトの作成時にデフォルトのネットワークと補助的リソースが自動的に作成されます。 constraints/compute.skipDefaultNetworkCreation	"is:"
Compute Engine	Compute ストレージ リソースの使用制限（Compute Engine のディスク、イメージ、スナップショット）	このリスト型制約は、Compute Engine のストレージ リソースの使用を許可される一連のプロジェクトを定義します。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは誰でも Compute Engine のリソースにアクセスできます。この制約を使用する場合、ユーザーには Cloud IAM のアクセス許可が必要であり、リソースへのアクセスが制約で制限されていてはなりません。 許可リストまたは拒否リストで指定するプロジェクト、フォルダ、組織は、under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID の形式である必要があります。 constraints/compute.storageResourceUseRestrictions	"is:"、"under:"
Compute Engine	信頼できるイメージ プロジェクトを定義する	このリスト型制約は、Compute Engine のイメージ保存やディスク インスタンス化に使用できる一連のプロジェクトを定義します。 デフォルトでは、イメージを公開で共有しているかユーザーと明示的に共有している任意のプロジェクト内のイメージから、インスタンスを作成できます。 パブリッシャー プロジェクトの許可リストまたは拒否リストは、projects/PROJECT_ID の形式の文字列である必要があります。この制約がアクティブな場合は、信頼できるプロジェクト内のイメージのみが、新しいインスタンスのブートディスクのソースとして許可されます。 constraints/compute.trustedImageProjects	"is:"
Compute Engine	VM IP 転送の制限	このリスト型制約は、IP 転送を有効にできる一連の VM インスタンスを定義します。デフォルトでは、すべての VM がすべての仮想ネットワークで IP 転送を有効にすることができます。VM インスタンスは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。 constraints/compute.vmCanIpForward	"is:"、"under:"
Compute Engine	VM インスタンス用に許可される外部 IP を定義する	このリスト型制約は、外部 IP アドレスの使用が許可されている一連の Compute Engine VM インスタンスを定義します。 デフォルトでは、すべての VM インスタンスで外部 IP アドレスの使用が許可されます。 VM インスタンスの許可リストまたは拒否リストは、projects/PROJECT_ID/zones/ZONE/instances/INSTANCE constraints/compute.vmExternalIpAccess という形式の VM インスタンス名で識別する必要があります。	"is:"
Datastream	Datastream - パブリック接続方法のブロック	デフォルトでは、Datastream 接続プロファイルはパブリックまたはプライベート接続方法で作成できます。この組織ポリシーにブール型制約が適用される場合、接続プロファイルの作成に使用できるのはプライベート接続方法（VPC ピアリングなど）のみです。 constraints/datastream.disablePublicConnectivity	"is:"
重要な連絡先	ドメインで制限された連絡先	このリスト型制約は、[重要な連絡先] に追加できるメールアドレスのドメインのセットを定義します。 デフォルトでは、すべてのドメインのメールアドレスを [重要な連絡先] に追加できます。 許可リストまたは拒否リストには、@example.com という形式の 1 つまたは複数のドメインを指定する必要があります。この制約が有効で、許可されている値で構成されている場合、許可されたドメインのリスト内のいずれかのエントリとサフィックスが一致するメールアドレスのみが、Essential Contacts に追加されます。 この制約は既存の連絡先の更新や削除には影響しません。 constraints/essentialcontacts.allowedContactDomains	"is:"
Cloud Healthcare	Cloud Logging を無効にする	この制約が適用される組織、プロジェクト、フォルダで Cloud Logging を無効にします。監査ログはこの制約の影響を受けません。 制約の適用前に生成されたログは削除されず、引き続きアクセスできます。 この制約は Cloud Healthcare API でのみサポートされます。 constraints/gcp.disableCloudLogging	"is:"
ID とアクセスの管理	OAuth 2.0 アクセス トークンの存続期間を最大 12 時間延長することを許可する	このリスト型制約は、存続期間が最大 12 時間の OAuth 2.0 アクセス トークンを付与できる一連のサービス アカウントを定義します。デフォルトでは、これらのアクセス トークンの最大存続期間は 1 時間です。 サービス アカウントの許可リストまたは拒否リストには、1 つ以上のサービス アカウントのメールアドレスを指定する必要があります。 constraints/iam.allowServiceAccountCredentialLifetimeExtension	"is:"
Identity and Access Management	ドメインで制限された共有	このリスト型制約は、プリンシパルを IAM ポリシーに追加できる 1 つ以上の Cloud Identity または Google Workspace のお客様 ID を定義します。 デフォルトでは、すべてのユーザー ID を IAM ポリシーに追加できます。 この制約が有効な場合、許可された顧客 ID に属するプリンシパルのみを IAM ポリシーに追加できます。 constraints/iam.allowedPolicyMemberDomains	"is:"
Identity and Access Management	プロジェクト間サービス アカウントの使用の無効化	適用した場合、サービス アカウントは、そのサービス アカウントと同じプロジェクトで実行中のジョブ（VM、関数など）にのみ（ServiceAccountUser ロールを使用して）デプロイできます。 constraints/iam.disableCrossProjectServiceAccountUsage	"is:"
Identity and Access Management	サービス アカウント作成の無効化	このブール型制約が True に設定されている場合、サービス アカウントの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントを作成できます。 constraints/iam.disableServiceAccountCreation	"is:"
Identity and Access Management	サービス アカウント キーの作成を無効化	このブール型制約を True に設定すると、サービス アカウントの外部キーの作成が無効になります。 デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントの外部キーを作成できます。 constraints/iam.disableServiceAccountKeyCreation	"is:"
Identity and Access Management	サービス アカウント キー アップロードの無効化	このブール型制約が True に設定されているサービス アカウントに公開鍵をアップロードできるようにする機能は、このブール型制約により無効になります。 デフォルトでは、ユーザーの Cloud IAM のロールと権限に基づいてーザーがサービス アカウントに公開鍵をアップロードできます。 constraints/iam.disableServiceAccountKeyUpload	"is:"
Identity and Access Management	Workload Identity クラスタ作成の無効化	このブール型制約を True に設定した場合、すべての新しい GKE クラスタでは作成時に Workload Identity が無効である必要があります。Workload Identity がすでに有効である既存の GKE クラスタは、引き続き通常どおり動作します。デフォルトでは、すべての GKE クラスタに対して Workload Identity を有効にできます。 constraints/iam.disableWorkloadIdentityClusterCreation	"is:"
Identity and Access Management	Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント	Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント ID のリスト。 constraints/iam.workloadIdentityPoolAwsAccounts	"is:"
Identity and Access Management	Cloud IAM のワークロード向けに許可されている外部の ID プロバイダ	Cloud IAM 内のワークロード認証用に構成可能な ID プロバイダ。URI/URL により指定します。 constraints/iam.workloadIdentityPoolProviders	"is:"
Resource Manager	共有 VPC プロジェクト リーエンの削除を制限する	このブール型制約を True に設定すると、組織レベルの権限なしで共有 VPC プロジェクト リーエンを削除できるユーザーが制限されます。 デフォルトでは、リーエンの更新権限を持つすべてのユーザーに共有 VPC プロジェクト リーエンの削除が許可されます。この制約を適用するには、組織レベルで権限を付与する必要があります。 constraints/compute.restrictXpnProjectLienRemoval	"is:"
Resource Manager	プロジェクト間サービス アカウントのリーエンの削除の制限	このブール型制約が「適用」された場合、ユーザーは組織レベルの権限がなければ、プロジェクト間サービス アカウントのリーエンを削除できなくなります。デフォルトでは、リーエンの更新権限を持つすべてのユーザーがプロジェクト間サービス アカウントのリーエンを削除できます。この制約を適用するには、組織レベルで権限を付与する必要があります。 constraints/iam.restrictCrossProjectServiceAccountLienRemoval	"is:"
Resource Manager	リソースクエリの公開設定を制限する	このリスト型制約を組織リソースに適用すると、この制約が適用される組織のドメインのユーザーに関して、リスト取得と検索のメソッドで返される Google Cloud リソースのセットが定義されます。これを使用すると、リソース選択ツール、検索、[リソースの管理] ページなど、Cloud Console のさまざまな部分に表示されるリソースを制限できます。この制約は組織レベルのみで評価されます。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。 constraints/resourcemanager.accessBoundaries	"is:"、"under:"
Resource Manager	組織間の移動には有効なサービスの許可リストが必要	このリスト型制約は、サービスが有効になっているプロジェクトで組織間の移動が可能かどうかを確認するチェックとして機能します。サポートされているサービスが有効になっているリソースには、この制約を適用する必要があります。また、そのサポートされているサービスが、組織間での移動が可能となるよう、許可された値に含まれていることも必要です。サポートされている使用可能なサービス用に許可されている値の現在のリストは次のとおりです。 SHARED_VPC この制約により、constraints/resourcemanager.allowedExportDestinations をさらに制御できます。この list_constraint はデフォルトでは空であり、エクスポート対象のリソースでサポートされているサービスが有効になっていない限り、組織間の移動はブロックされません。この制約により、別の組織への移動の際に特に注意を要する機能を使用して、リソースを細かく制御できます。デフォルトでは、サポートされているサービスが有効になっているリソースは、組織間で移動できません。 constraints/resourcemanager.allowEnabledServicesForExport	"is:"
Resource Manager	リソースのエクスポートが許可されている宛先	このリスト型制約は、リソースを移動できる外部組織を定義し、他のすべての組織へのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用すると、そのリソースは制約で明示的に許可されている組織にのみ移動できます。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。 constraints/resourcemanager.allowedExportDestinations	"is:"、"under:"
Resource Manager	リソースのインポートを許可されている送信元	このリスト型制約は、リソースのインポートが可能な外部組織を定義し、他のすべての組織からのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用する場合、このリソースで直接インポートしたリソースを、この制約で明示的に許可する必要があります。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。 constraints/resourcemanager.allowedImportSources	"is:"、"under:"
Cloud Run	許可される Binary Authorization ポリシー（Cloud Run）	このリスト型制約は、Cloud Run リソースに指定できる Binary Authorization ポリシー名のセットを定義します。デフォルトでは、リソースには任意の Binary Authorization ポリシーを指定できます。 Binary Authorization ポリシーはプロジェクトごとに 1 つしか存在しないため、ポリシーの許可リストや拒否リストには値 default を使用する必要があります。 constraints/run.allowedBinaryAuthorizationPolicies	"is:"
Cloud Run	許可される上り（内向き）設定（Cloud Run）	このリスト型制約は、Cloud Run サービスに対して許可される上り（内向き）設定を定義します。この制約が適用されると、許可された値のいずれかに一致する上り（内向き）設定がサービスで必要になります。この制約に従わない上り（内向き）設定がある既存の Cloud Run サービスは、サービスの上り（内向き）設定がこの制約に従うように変更されるまで、引き続き更新できます。サービスがこの制約に従うようになると、サービスはこの制約で許可されている上り（内向き）設定のみを使用できます。 デフォルトでは、Cloud Run サービスは任意の上り（内向き）設定を使用できます。 許可リストには、サポートされている上り（内向き）設定値（all、internal、internal-and-cloud-load-balancing）を含める必要があります。 constraints/run.allowedIngress	"is:"
Cloud Run	許可される VPC 下り（外向き）設定（Cloud Run）	このリスト型制約は、Cloud Run サービスのリビジョンで許可される VPC 下り（外向き）設定を定義します。この制約が適用されると、サービスのリビジョンにサーバーレス VPC アクセス コネクタが必要になり、リビジョンの VPC 下り（外向き）設定が許可された値のいずれかに一致することが求められます。 既存のサービスの場合、新しくデプロイするリビジョンはすべて、この制約に従う必要があります。この制約に従わないトラフィックを処理するリビジョンの既存のサービスは、この制約に従わないリビジョンに引き続きトラフィックを移行できます。サービスのすべてのトラフィックが、この制約に従ったリビジョンによって処理されると、それ以降のトラフィックの移行では、この制約に従うリビジョンにのみトラフィックを移行する必要があります。 デフォルトでは、Cloud Run のリビジョンは VPC 下り（外向き）設定を、サポートされている任意の値に設定できます。 許可リストには、サポートされている VPC 下り（外向き）設定の値（private-ranges-only と all-traffic）を含める必要があります。 constraints/run.allowedVPCEgress	"is:"
Service Consumer Management	デフォルトのサービス アカウントに対する IAM ロールの自動付与の無効化	このブール型制約を適用すると、プロジェクトで作成されたデフォルト の App Engine サービス アカウントと Compute Engine サービス アカウントは、アカウント作成時にプロジェクトの IAM ロールを自動的に付与しなくなります。 デフォルトでは、これらのサービス アカウントには作成時に編集者のロールが自動的に付与されます。 constraints/iam.automaticIamGrantsForDefaultServiceAccounts	"is:"
Cloud Storage	Google Cloud Platform - 詳細な監査ロギングモード	詳細な監査ロギングモードが適用されている場合は、リクエストとレスポンスの両方が Cloud Audit Logs に含まれます。この機能を変更すると、反映されるまで 10 分ほどかかることがあります。SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d)、FINRA Rule 4511(c) などのコンプライアンスが目標である場合は、この組織ポリシーをバケットロックと連携して使用することを強くおすすめします。現時点でこのポリシーは Google Cloud Storage のみでサポートされています。 constraints/gcp.detailedAuditLoggingMode	"is:"
Cloud Storage	公開アクセスの防止を適用する	プレビュー: 公開アクセスの防止を適用して、Cloud Storage データが一般に公開されないようにします。このガバナンス ポリシーは、既存のリソースや将来のリソースが公共のインターネットを介してアクセスされないように、allUsers と allAuthenticatedUsers にアクセス権を付与する ACL と IAM 権限を無効にしてブロックします。組織全体（推奨）、特定のプロジェクト、特定のフォルダにこのポリシーを適用することによって、データが公開されないようにできます。 このポリシーは、一般公開につながる既存の権限をオーバーライドします。このポリシーを有効にすると、既存のバケットとオブジェクトに対する公開アクセスが取り消されます。 constraints/storage.publicAccessPrevention	"is:"
Cloud Storage	保持ポリシー期間（秒）	このリスト型制約は、Cloud Storage バケットに設定できる保持ポリシーの期間を定義します。 デフォルトでは、組織のポリシーが指定されない場合、任意の期間の保持ポリシーを Cloud Storage バケットに格納できます。 許可期間のリストは、保持ポリシーを秒単位で表す、0 より大きい正の整数値として指定される必要があります。 組織リソース内のバケットに対する挿入、更新、またはパッチ オペレーションには、制約と一致する保持ポリシー期間を設定する必要があります。 この制約は遡って適用されることはありません。新しい組織ポリシーが適用されても、既存のバケットの保持ポリシーは変更されず有効なままです。 constraints/storage.retentionPolicySeconds	"is:"
Cloud Storage	均一なバケットレベルのアクセスの適用	このブール型制約を True に設定すると、バケットで、均一なバケットレベルのアクセスを使用することが必須となります。組織リソース内に新規作成するバケットでは、均一なバケットレベルのアクセスを有効にする必要があります。組織リソース内の既存バケットで、均一なバケットレベルのアクセスを無効にすることはできません。 この制約は遡って適用されることはありません。均一なバケットレベルのアクセスが無効になっている既存のバケットでは、無効なままです。この制約のデフォルト値は False です。 均一なバケットレベルのアクセスでは、バケット内の Cloud Storage オブジェクトに割り当てられた ACL の評価は無効になります。そのため、IAM ポリシーによってのみ、これらのバケット内のオブジェクトへのアクセス権が付与されます。 constraints/storage.uniformBucketLevelAccess	"is:"

入門ガイド

個別の制約を使用する方法については、以下をご覧ください。

制約	入門ガイド
constraints/cloudfunctions.allowedIngressSettings	VPC Service Controls を使用する
constraints/cloudfunctions.allowedVpcConnectorEgressSettings	VPC Service Controls を使用する
cloudfunctions.requireVPCConnector	VPC Service Controls を使用する
constraints/compute.restrictCloudNATUsage	Cloud NAT の使用制限
constraints/compute.restrictLoadBalancerCreationForTypes	Cloud Load Balancing の制約
constraints/compute.restrictProtocolForwardingCreationForTypes	プロトコル転送の制約
constraints/compute.restrictDedicatedInterconnectUsage constraints/compute.restrictPartnerInterconnectUsage	Cloud Interconnect の使用の制限
constraints/compute.restrictVpnPeerIPs	Cloud VPN トンネルを経由したピア IP アドレスの制限
constraints/compute.trustedImageProjects	イメージへのアクセスの制限
constraints/compute.vmExternalIpAccess	VM の外部 IP アクセスの無効化
constraints/iam.allowedPolicyMemberDomains	ドメイン別の ID の制限
constraints/iam.allowServiceAccountCredentialLifetimeExtension	OAuth 2.0 アクセス トークンの存続時間を延長する
constraints/iam.disableCrossProjectServiceAccountUsage	サービス アカウントの別のプロジェクト内のリソースへのアタッチ
constraints/iam.disableServiceAccountCreation	サービス アカウントの作成の制限
constraints/iam.disableServiceAccountKeyCreation	サービス アカウント キーの作成の制限
constraints/iam.disableServiceAccountKeyUpload	サービス アカウント キーのアップロードを制限する
constraints/iam.disableWorkloadIdentityClusterCreation	Workload Identity クラスタの作成を制限する
constraints/iam.restrictCrossProjectServiceAccountLienRemoval	サービス アカウントの別のプロジェクト内のリソースへのアタッチ
constraints/gcp.detailedAuditLoggingMode constraints/storage.retentionPolicySeconds constraints/storage.uniformBucketLevelAccess constraints/storage.publicAccessPrevention	Cloud Storage の組織のポリシーに関する制約
constraints/gcp.disableCloudLogging	Cloud Logging を無効にする
constraints/gcp.resourceLocations	リソース ロケーションの制限
constraints/compute.restrictCloudNATUsage	Cloud NAT の組織のポリシーに関する制約
constraints/resourcemanager.accessBoundaries	ユーザーのプロジェクト公開設定の制限
constraints/run.allowedIngress	VPC Service Controls を使用する
constraints/run.allowedVPCEgress	VPC Service Controls を使用する

詳細

組織ポリシーの基本コンセプトの詳細については、以下をご覧ください。

• 組織ポリシーの概要を読む。

• 制約について読む。

• 組織ポリシーを作成して制約を使用する方法について読む。

• 階層評価の仕組みについて読む。