組織のポリシーの制約

使用可能な制約

次の制約を使用するポリシーを指定できます。

複数の Google Cloud サービスでサポートされる制約

制約 説明 サポートされている接頭辞
許可されたワーカープール（Cloud Build） このリスト型制約は、Cloud Build を使用してビルドを実行するための許可された Cloud Build ワーカープールのセットを定義します。この制約が適用されると、許可された値のいずれかに一致するワーカープールでビルドすることが要求されます。
デフォルトでは、Cloud Build はすべてのワーカープールを使用できます。
ワーカープールの許可リストの形式は、
  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID


    • constraints/cloudbuild.allowedWorkerPools
"is:"、"under:" です。
Google Cloud Platform - リソース ロケーションの制限 このリスト型制約は、ロケーション ベースの GCP リソースを作成できる一連のロケーションを定義します。
デフォルトでは、任意のロケーションにリソースを作成できます。
この制約に関するポリシーでは、許可または拒否するロケーションとして、asia や europe などのマルチリージョン、us-east1 や europe-west1 などのリージョンを指定できます。マルチリージョンを許可または拒否しても、それらに含まれるすべてのサブロケーションまで許可または拒否されることにはなりません。たとえば、ポリシーで us マルチリージョン（一部のストレージ サービスなどのマルチリージョン リソースを指す）が拒否されていても、リージョン ロケーション us-east1 には依然としてリソースを作成できます。一方、in:us-locations グループは us リージョン内のすべてのロケーションを含み、すべてのリージョンをブロックするために使用できます。
値グループを使用してポリシーを定義することをおすすめします。
値グループ（リソースのロケーションを簡単に定義できるようにするために Google によってキュレートされた、ロケーションのコレクション）を指定できます。組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加し、その後に値グループを配置します。
たとえば、米国内にのみ存在するリソースを作成するには、使用可能な値のリストに in:us-locations を設定します。
ロケーション ポリシーで suggested_value フィールドが使用されている場合は、リージョンを設定する必要があります。指定した値がリージョンの場合は、ゾーンリソースの UI にこのリージョン内のすべてのゾーンが事前に入力されます。
constraints/gcp.resourceLocations 		"is:"、"in:"
CMEK 用の KMS CryptoKey を提供できるプロジェクトを制限する プレビュー: このリスト型制約は、リソースの作成時に顧客管理の暗号鍵（CMEK）を提供するために使用できるプロジェクトを定義します。この制約を [Allow] に設定した場合（これらのプロジェクトからの CMEK 鍵のみを許可する場合）、他のプロジェクトの CMEK 鍵を使用して、新規に作成されるリソースを保護できなくなります。この制約の値は、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。この制約を適用するサポート対象のサービスは次のとおりです。
  • bigtable.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
　この制約の適用は、追加サービスを追加するために、随時拡大される場合があります。サポートされているサービスとサポートされていないサービスが混在しているプロジェクト、フォルダ、組織にこの制約を適用する場合は、注意が必要です。この制約を [DenyまたはDeny All] に設定することはできません。この制約が遡って適用されることはありません。この制約が確実に適用されるよう、許可されていないプロジェクトからの KMS CryptoKey を持つ既存の CMEK GCP リソースは再構成または再作成する必要があります。
constraints/gcp.restrictCmekCryptoKeyProjects 		"is:"、"under:"
CMEK を使用せずにリソースを作成できるサービスを制限する プレビュー: このリスト型制約は、顧客管理の暗号鍵（CMEK）を必要とするサービスを定義します。この制約を Deny に設定した場合（CMEK を使用しないリソース作成を認めない場合）、指定するサービスでは、新規に作成されるリソースを CMEK 鍵で保護する必要があります。この制約で設定できるサポート対象のサービスは次のとおりです。
  • bigtable.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
この制約を [Deny All] に設定することはできません。この制約を [Allow] に設定することはできません。この制約が遡って適用されることはありません。この制約が確実に適用されるよう、CMEK がない既存の GCP リソースは再構成または再作成する必要があります。
constraints/gcp.restrictNonCmekServices 		"is:"
許可される Google Cloud API とサービスを制限する このリスト型制約は、このリソースで有効にできるサービスと、そのサービスの API を制限します。デフォルトでは、すべてのサービスが許可されます。
サービスの拒否リストは、以下のリストから指定する必要があります。現在、この制約を介した API を明示的に有効にすることはできません。このリストにない API を指定すると、エラーが発生します。
この制約は遡って適用されることはありません。この制約が適用された時点でサービスがリソース上ですでに有効になっている場合、サービスは有効のままです。

constraints/serviceuser.services 		"is:"

特定のサービスの制約

サービス 制約 説明 サポートされている接頭辞
App Engine ソースコードのダウンロードを無効にする 以前に App Engine にアップロードされたソースコードのダウンロードを無効にします。
constraints/appengine.disableCodeDownload		 "is:"
BigQuery BigQuery Omni for Cloud AWS を無効にする このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Amazon Web Services 上のデータを BigQuery Omni で処理できなくなります。
constraints/bigquery.disableBQOmniAWS 		"is:"
BigQuery BigQuery Omni for Cloud Azure を無効にする このブール型制約を True に設定した場合、ユーザーはこの制約が適用されている Microsoft Azure で BigQuery Omni を使用してデータを処理できなくなります。
constraints/bigquery.disableBQOmniAzure 		"is:"
Cloud Build 許可された統合（Cloud Build） このリスト型制約は、GCP 外のサービスから Webhook の受信を介してビルドを実行するための許可された Cloud Build の統合を定義します。この制約が適用されると、許可された値のいずれかにホストが一致するサービスの Webhook のみが処理されます。
デフォルトでは、Cloud Build はアクティブなトリガーが 1 つ以上あるプロジェクトのすべての Webhook を処理します。
constraints/cloudbuild.allowedIntegrations 		"is:"
Cloud Deploy Cloud Deploy サービスラベルを無効にする このブール型制約が適用されると、Cloud Deploy はデプロイされるオブジェクトに対して Cloud Deploy 識別子ラベルを追加しなくなります。
デフォルトでは、リリースの作成時にデプロイされるオブジェクトに対して、Cloud Deploy リソースを識別するラベルが追加されます。
constraints/clouddeploy.disableServiceLabelGeneration 		"is:"
Cloud Functions 許可される上り（内向き）設定（Cloud Functions） このリスト制約は、クラウド機能のデプロイについて許可される Ingress の設定を定義します。この制約が適用される場合、許可された値のいずれかに一致する Ingress の設定が関数に必要です。
デフォルトでは、Cloud Functions は任意の上り（内向き）設定を使用できます。
上り（内向き）設定は、IngressSettings 列挙型の値を使用して許可リストで指定する必要があります。

constraints/cloudfunctions.allowedIngressSettings 		"is:"
Cloud Functions 許可される VPC コネクタの下り（外向き）設定（Cloud Functions） このリスト制約は、Cloud Functions のデプロイに許可される VPC コネクタ出力設定を定義します。この制約が適用されると、Cloud Functions には許可された値の 1 つに一致する VPC コネクタ出力設定が必要になります。
デフォルトでは、Cloud Functions はすべての VPC コネクタの下り（外向き）設定を使用できます。
VPC コネクタの下り（外向き）設定は、VpcConnectorEgressSettings 列挙型の値を使用して許可リストで指定する必要があります。

constraints/cloudfunctions.allowedVpcConnectorEgressSettings 		"is:"
Cloud Functions VPC コネクタが必須（Cloud Functions） このブール値制約により、Cloud Functions の関数をデプロイするときに VPC コネクタの設定が適用されます。この制約が適用されると、Cloud Functions は VPC コネクタを指定する必要があります。
デフォルトでは、VPC コネクタを指定するのに Cloud Functions の関数をデプロイする必要はありません。

constraints/cloudfunctions.requireVPCConnector 		"is:"
Cloud KMS 作成できる KMS CryptoKey のタイプを制限します。 このリスト型制約は、特定の階層ノードの下に作成できる Cloud KMS 鍵タイプを定義します。この制約が適用されると、この組織のポリシー内に指定された KMS 鍵タイプのみを、関連する階層ノード内に作成できます。この組織のポリシーを設定すると、インポート ジョブと鍵バージョンの保護レベルにも影響があります。デフォルトでは、すべての鍵タイプが許可されます。指定できる値は SOFTWARE、HSM、EXTERNAL、EXTERNAL_VPC です。拒否ポリシーは使用できません。
constraints/cloudkms.allowedProtectionLevels 		"is:"
Cloud SQL Cloud SQL インスタンスにおいて、デフォルトの Google が管理する暗号化の使用を制限します この制約は非推奨となっており、Cloud SQL インスタンスで CMEK の使用を強制することはおすすめしません。
ベータ版: このブール値定数を True に設定すると、新規作成、再起動、更新されるすべての Cloud SQL インスタンスで顧客管理の暗号鍵（CMEK）の使用が必須になります。この設定は、遡って適用されることはありません。つまり、Google が管理する暗号を使用している既存のインスタンスは、更新されない限り影響を受けません。

この定数のデフォルトは False であり、Google が管理する暗号を Cloud SQL インスタンスで使用できます。

constraints/sql.disableDefaultEncryptionCreation 		"is:"
Cloud SQL Cloud SQL インスタンスに対する承認済みネットワークを制限する このブール型制約が True に設定されている Cloud SQL インスタンスへのプロキシを経由しないデータベース アクセスに関して、承認済みネットワークの追加が制限されます。この制約は遡って適用されません。承認済みネットワークがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。
デフォルトでは、Cloud SQL インスタンスに承認済みネットワークを追加できます。

constraints/sql.restrictAuthorizedNetworks 		"is:"
Cloud SQL Cloud SQL インスタンスに対するパブリック IP のアクセスを制限する このブール型制約が True に設定されている Cloud SQL インスタンスに対するパブリック IP の構成が制限されます。この制約は遡って適用されません。パブリック IP アクセスがすでにある Cloud SQL インスタンスは、この制約の適用後も機能します。
デフォルトでは、Cloud SQL インスタンスへのパブリック IP アクセスは許可されます。

constraints/sql.restrictPublicIp 		"is:"
Compute Engine すべての IPv6 の使用を無効にする このブール型制約を True に設定した場合、IPv6 の使用に関連するすべての Google Compute Engine リソースの作成または更新が無効になります。
デフォル トでは、適切な Cloud IAM 権限を持つユーザーは誰でも、任意のプロジェクト、フォルダ、組織で IPv6 を使用する Google Compute Engine リソースを作成または更新できます。
この制約を設定すると、他の IPv6 に関連する組織制約（disableVpcInternalIpv6、disableVpcExternalIpv6、disableHybridCloudIpv6 など）よりも優先順位が高くなります。
constraints/compute.disableAllIpv6 		"is:"
Compute Engine Compute Engine メタデータのゲスト属性の無効化 このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM のゲスト属性への Compute Engine API アクセスが無効になります。
デフォルトでは、Compute Engine API を使用して Compute Engine VM のゲスト属性にアクセスできます。

constraints/compute.disableGuestAttributesAccess 		"is:"
Compute Engine インターネット ネットワーク エンドポイント グループの無効化 このブール型制約は、ユーザーが INTERNET_FQDN_PORT および INTERNET_IP_PORT の type でインターネット ネットワーク エンドポイント グループ（NEG）を作成できるかどうかを制限します。
デフォルトでは、適切な IAM 権限を持つすべてのユーザーは、任意のプロジェクトでインターネット NEG を作成できます。
constraints/compute.disableInternetNetworkEndpointGroup		 "is:"
Compute Engine VM のネストされた仮想化を無効にする このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属するすべての Compute Engine VM に対するハードウェア アクセラレーションによりネストされた仮想化は無効になります。
デフォルトでは、Intel Haswell 以降の CPU プラットフォームで実行されているすべての Compute Engine VM に対して、ハードウェア アクセラレーションによりネストされた仮想化は許可されています。

constraints/compute.disableNestedVirtualization 		"is:"
Compute Engine コンシューマ向け Private Service Connect の無効化 このリスト型制約は、ユーザーが転送ルールを作成できない Private Service Connect エンドポイント タイプを定義します。この制約が適用されると、ユーザーはその Private Service Connect エンドポイント タイプに対する転送ルールを作成できなくなります。この制約が過去にさかのぼって適用されることはありません。
デフォルトでは、すべての Private Service Connect エンドポイント タイプに対して転送ルールを作成できます。
Private Service Connect エンドポイントの許可 / 拒否リストは、次のリストから指定する必要があります。
  • GOOGLE_APIS
  • SERVICE_PRODUCERS
許可 / 拒否リストで GOOGLE_APIS を使用すると、Google API にアクセスするための Private Service Connect 転送ルールの作成が制限されます。許可 / 拒否リストで SERVICE_PRODUCERS を使用すると、別の VPC ネットワーク内のサービスにアクセスするための Private Service Connect 転送ルールの作成が制限されます。
constraints/compute.disablePrivateServiceConnectCreationForConsumers 		"is:"
Compute Engine VM シリアルポート アクセスを無効にする このブール型制約により、制約が True に設定されている組織、プロジェクト、フォルダに属する Compute Engine VM へのシリアルポート アクセスが無効になります。
デフォルトでは、Compute Engine VM へのシリアルポート アクセスは、メタデータ属性を使用して VM 単位またはプロジェクト単位で有効にできます。この制約を適用すると、メタデータの属性にかかわらず、Compute Engine VM のシリアルポート アクセスが無効になります。

constraints/compute.disableSerialPortAccess 		"is:"
Compute Engine Stackdriver への VM シリアルポート ロギングを無効化 このブール型制約は、この制約が適用されている組織、プロジェクト、フォルダに属する Compute Engine VM から Stackdriver へのシリアルポート ロギングを無効にします。
デフォルトでは、Compute Engine VM のシリアルポート ロギングは無効になっており、メタデータ属性を使用して VM 単位またはプロジェクト単位で選択して有効にできます。この制約が適用されると、新しい VM が作成されるたびに、新しい Compute Engine VM に対するシリアルポート ロギングが無効になり、ユーザーは VM（旧または新）のメタデータ属性を True に変更できなくなります。
constraints/compute.disableSerialPortLogging 		"is:"
Compute Engine VPC 外部 IPv6 の使用を無効にする このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が EXTERNAL であるサブネットワークの作成または更新が無効になります。
デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。
constraints/compute.disableVpcExternalIpv6 		"is:"
Compute Engine VPC 内部 IPv6 使用を無効にする このブール型制約を True に設定した場合は、stack_type が IPV4_IPV6 であり、ipv6_access_type が INTERNAL であるサブネットワークの作成または更新が無効になります。
デフォルトでは、適切な Cloud IAM の権限を持つ任意のユーザーが、プロジェクト、フォルダ、組織で stack_type が IPV4_IPV6 であるサブネットワークを作成または更新できます。
constraints/compute.disableVpcInternalIpv6 		"is:"
Compute Engine OS ログインが必須 このブール型制約を true に設定した場合、新しく作成したすべてのプロジェクトで OS ログインが有効になります。新しいプロジェクトのすべての VM インスタンスで OS ログインが有効になります。この制約は、新規および既存のプロジェクトについて、プロジェクトまたはインスタンス レベルで OS ログインが無効なメタデータが更新されるのを防ぎます。
Compute Engine プロジェクトでは、OS Login 機能はデフォルトで無効になっています。
ノードプール バージョン 1.20.5-gke.2000 以降を実行している限定公開クラスタ内の GKE インスタンスは、OS Login をサポートしています。現在、一般公開クラスタ内の GKE インスタンスは OS Login をサポートしていません。一般公開クラスタを実行しているプロジェクトにこの制約が適用される場合、そのプロジェクトで実行される GKE インスタンスが正しく機能しない可能性があります。
constraints/compute.requireOsLogin 		"is:"
Compute Engine Shielded VM このブール型制約を True に設定した場合、すべての新しい Compute Engine VM インスタンスでは、セキュアブート、vTPM、整合性モニタリングのオプションが有効である Shielded ディスク イメージを使用する必要があります。必要に応じて、セキュアブートは作成後に無効にできます。既存の実行中のインスタンスは、引き続き通常どおり動作します。
デフォルトでは、Compute Engine VM インスタンスを作成するために Shielded VM の機能を有効にする必要はありません。Shielded VM の機能により、VM には、検証可能な整合性と情報流出防止機能が追加されます。
constraints/compute.requireShieldedVm 		"is:"
Compute Engine VPC フローログに対して、事前定義されたポリシーが必須 このリスト型制約は、VPC フローログに対して適用できる、事前定義されたポリシーのセットを定義します。
デフォルトでは、各サブネットの任意の設定を使用して VPC フローログを構成できます。
この制約は、必要な最小限のサンプリング レートを使用して、スコープ内のすべてのサブネットワークのフローログを強制的に有効にします。
次の有効な値の中から 1 つまたは複数指定します。
  • ESSENTIAL（0.1 以上 0.5 未満の値を許可）
  • LIGHT（0.5 以上 1.0 未満の値を許可）
  • COMPREHENSIVE（値 1.0 を許可）

constraints/compute.requireVpcFlowLogs 		"is:"
Compute Engine Cloud NAT の使用制限 このリスト型制約は、Cloud NAT の使用を許可するサブネットワークのセットを定義します。デフォルトでは、すべてのサブネットワークで Cloud NAT を使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictCloudNATUsage		 "is:"、"under:"
Compute Engine Dedicated Interconnect の使用の制限 このリスト型制約は、Dedicated Interconnect の使用を許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictDedicatedInterconnectUsage 		"is:"、"under:"
Compute Engine ロードバランサの種類に基づいてロードバランサの作成を制限する このリスト型制約は、組織、フォルダ、プロジェクトに対して作成可能な、一連のロードバランサのタイプを定義します。許可または拒否するすべてのロードバランサ タイプの一覧を明示的に指定する必要があります。デフォルトでは、すべての種類のロードバランサの作成が許可されています。
許可値または拒否値のリストは、ロードバランサの文字列名として識別される必要があります。また、次のリストにある値のみを含めることができます。
  • INTERNAL_TCP_UDP
  • INTERNAL_HTTP_HTTPS
  • EXTERNAL_NETWORK_TCP_UDP
  • EXTERNAL_TCP_PROXY
  • EXTERNAL_SSL_PROXY
  • EXTERNAL_HTTP_HTTPS
  • EXTERNAL_MANAGED_HTTP_HTTPS
  • GLOBAL_EXTERNAL_MANAGED_HTTP_HTTPS

すべての内部または外部のロードバランサを含めるには、「in:」接頭辞に「INTERNAL」または「EXTERNAL」を続けて使用します。たとえば、「in:INTERNAL」を許可すると、上記のリストにある INTERNAL を含むすべてのロードバランサ タイプが許可されます。
constraints/compute.restrictLoadBalancerCreationForTypes 		"is:"、"in:"
Compute Engine Confidential Computing 以外を制限する このリスト型制約の拒否リストでは、Confidential Computing を有効にしてすべての新しいリソースを作成する必要がある一連のサービスを定義します。デフォルトでは、新しいリソースは Confidential Computing を使用する必要はありません。このリスト型制約の適用中は、リソースのライフサイクル全体で Confidential Computing を無効にすることはできません。既存のリソースは、引き続き通常どおり動作します。サービスの拒否リストは、API の文字列名として識別される必要があります。さらに、以下のリストにある明示的な拒否値のみを含めることができます。現在、API を明示的に許可する機能はサポートされていません。このリストにない API を明示的に拒否すると、エラーが発生します。サポートされている API のリスト: [compute.googleapis.com, container.googleapis.com]
constraints/compute.restrictNonConfidentialComputing		 "is:"
Compute Engine Partner Interconnect の使用の制限 このリスト型制約は、Partner Interconnect の使用が許可されている Compute Engine ネットワークのセットを定義します。デフォルトでは、ネットワークはすべての種類の Interconnect を使用できます。ネットワークの許可 / 拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictPartnerInterconnectUsage 		"is:"、"under:"
Compute Engine IP アドレスの種類に基づいてプロトコル転送を制限する このリスト型制約は、ユーザーが作成できるターゲット インスタンスを持つプロトコル転送ルール オブジェクトのタイプを定義します。この制約が適用される場合、ターゲット インスタンスを持つ新しい転送ルール オブジェクトは、指定されたタイプに基づいて、内部 IP アドレスまたは外部 IP アドレスに限定されます。許可または拒否するタイプは、明示的に指定する必要があります。デフォルトでは、ターゲット インスタンスで内部および外部プロトコル転送ルール オブジェクトの両方を作成できます。
許可または拒否される値のリストには、以下のリストの値のみを含めることができます。
  • INTERNAL
  • EXTERNAL
.
constraints/compute.restrictProtocolForwardingCreationForTypes 		"is:"
Compute Engine 共有 VPC ホスト プロジェクトの制限 このリスト型制約は、このリソースと同じ位置かその下にあるプロジェクトで接続先にできる、一連の共有 VPC ホスト プロジェクトを定義します。デフォルトでは、プロジェクトは同じ組織内の任意のホスト プロジェクトに接続して、サービス プロジェクトになることができます。許可リストまたは拒否リスト内のプロジェクト、フォルダ、組織は、リソース階層でそれらの下にあるすべてのオブジェクトに影響を及ぼします。また、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、または projects/PROJECT_ID の形式で指定する必要があります。
constraints/compute.restrictSharedVpcHostProjects 		"is:"、"under:"
Compute Engine 共有 VPC サブネットワークの制限 このリスト型制約は、適格リソースで使用できる一連の共有 VPC サブネットワークを定義します。この制約は、同じプロジェクト内のリソースには適用されません。デフォルトでは、適格リソースはすべての共有 VPC サブネットワークを使用できます。サブネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME という形式で指定する必要があります。
constraints/compute.restrictSharedVpcSubnetworks 		"is:"、"under:"
Compute Engine VPC ピアリング使用量の制限 このリスト型制約では、このプロジェクト、フォルダ、組織に属する VPC ネットワークとピアリングできる一連の VPC ネットワークを定義します。デフォルトでは、あるネットワークのネットワーク管理者は、他のすべてのネットワークとピアリングできます。ネットワークの許可リストまたは拒否リストは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/global/networks/NETWORK_NAME という形式で識別される必要があります。
constraints/compute.restrictVpcPeering 		"is:"、"under:"
Compute Engine VPN ピア IP の制限 このリスト型制約は、VPN ピア IP として構成できる一連の有効な IP-v4 アドレスを定義します。デフォルトでは、すべての IP を VPC ネットワークの VPN ピア IP にすることができます。IP アドレスの許可 / 拒否リストは、IP_V4_ADDRESS の形式で有効な IP-v4 アドレスとして指定する必要があります。
constraints/compute.restrictVpnPeerIPs 		"is:"
Compute Engine 新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定します 「True」に設定すると、新しく作成したプロジェクトでゾーン DNS がデフォルトで使用されます。デフォルトではこの制約は「False」に設定され、新しく作成したプロジェクトでデフォルトの DNS タイプが使用されます。
constraints/compute.setNewProjectDefaultToZonalDNSOnly 		"is:"
Compute Engine 共有予約オーナー プロジェクト このリスト型制約は、組織内で共有予約を作成および所有できる一連のプロジェクトを定義します。共有予約はローカルの予約に似ていますが、オーナー プロジェクト以外に、リソース階層にある他の Compute Engine プロジェクトからも使用可能であるという点が異なります。共有予約にアクセスをできるプロジェクトのリストは、projects/PROJECT_NUMBER または under:projects/PROJECT_NUMBER の形式にする必要があります。
constraints/compute.sharedReservationsOwnerProjects 		"is:"、"under:"
Compute Engine デフォルト ネットワークの作成をスキップ このブール値制約を True に設定した場合、Google Cloud Platform プロジェクト リソースの作成時に、デフォルトのネットワークと関連リソースの作成がスキップされます。デフォルトでは、プロジェクトの作成時にデフォルトのネットワークと補助的リソースが自動的に作成されます。

constraints/compute.skipDefaultNetworkCreation 		"is:"
Compute Engine Compute ストレージ リソースの使用制限（Compute Engine のディスク、イメージ、スナップショット） このリスト型制約は、Compute Engine のストレージ リソースの使用を許可される一連のプロジェクトを定義します。デフォルトでは、適切な Cloud IAM アクセス許可を持つユーザーは誰でも Compute Engine のリソースにアクセスできます。この制約を使用する場合、ユーザーには Cloud IAM のアクセス許可が必要であり、リソースへのアクセスが制約で制限されていてはなりません。
許可リストまたは拒否リストで指定するプロジェクト、フォルダ、組織は、under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID の形式である必要があります。

constraints/compute.storageResourceUseRestrictions 		"is:"、"under:"
Compute Engine 信頼できるイメージ プロジェクトを定義する このリスト型制約は、Compute Engine のイメージ保存やディスク インスタンス化に使用できる一連のプロジェクトを定義します。
デフォルトでは、イメージを公開で共有しているかユーザーと明示的に共有している任意のプロジェクト内のイメージから、インスタンスを作成できます。
パブリッシャー プロジェクトの許可リストまたは拒否リストは、projects/PROJECT_ID の形式の文字列である必要があります。この制約がアクティブな場合は、信頼できるプロジェクト内のイメージのみが、新しいインスタンスのブートディスクのソースとして許可されます。

constraints/compute.trustedImageProjects 		"is:"
Compute Engine VM IP 転送の制限 このリスト型制約は、IP 転送を有効にできる一連の VM インスタンスを定義します。デフォルトでは、すべての VM がすべての仮想ネットワークで IP 転送を有効にすることができます。VM インスタンスは、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID、または projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME の形式で指定する必要があります。この制約は遡って適用されることはありません。
constraints/compute.vmCanIpForward 		"is:"、"under:"
Compute Engine VM インスタンス用に許可される外部 IP を定義する このリスト型制約は、外部 IP アドレスの使用が許可されている一連の Compute Engine VM インスタンスを定義します。
デフォルトでは、すべての VM インスタンスで外部 IP アドレスの使用が許可されます。
VM インスタンスの許可リストまたは拒否リストは、projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

constraints/compute.vmExternalIpAccess という形式の VM インスタンス名で識別する必要があります。		 "is:"
Datastream Datastream - パブリック接続方法のブロック デフォルトでは、Datastream 接続プロファイルはパブリックまたはプライベート接続方法で作成できます。この組織ポリシーにブール型制約が適用される場合、接続プロファイルの作成に使用できるのはプライベート接続方法（VPC ピアリングなど）のみです。
constraints/datastream.disablePublicConnectivity 		"is:"
重要な連絡先 ドメインで制限された連絡先 このリスト型制約は、[重要な連絡先] に追加できるメールアドレスのドメインのセットを定義します。
デフォルトでは、すべてのドメインのメールアドレスを [重要な連絡先] に追加できます。
許可リストまたは拒否リストには、@example.com という形式の 1 つまたは複数のドメインを指定する必要があります。この制約が有効で、許可されている値で構成されている場合、許可されたドメインのリスト内のいずれかのエントリとサフィックスが一致するメールアドレスのみが、Essential Contacts に追加されます。
この制約は既存の連絡先の更新や削除には影響しません。
constraints/essentialcontacts.allowedContactDomains 		"is:"
Firestore インポート / エクスポート用に必要な Firestore サービス エージェント このブール型制約を適用する場合は、Firestore のインポートとエクスポートで Firestore サービス エージェントを使用する必要があります。
Firestore のインポートとエクスポートは、デフォルトで App Engine サービス アカウントを使用している場合があります。
今後、Firestore はインポートとエクスポートに App Engine サービス アカウントを使用しなくなり、すべてのアカウントが Firestore サービス エージェントに移行する必要があります。移行後は、この制約は不要になります。

constraints/firestore.requireP4SAforImportExport 		"is:"
Cloud Healthcare Cloud Logging を無効にする この制約が適用される組織、プロジェクト、フォルダで Cloud Logging を無効にします。監査ログはこの制約の影響を受けません。
制約の適用前に生成されたログは削除されず、引き続きアクセスできます。
この制約は Cloud Healthcare API でのみサポートされます。
constraints/gcp.disableCloudLogging 		"is:"
ID とアクセスの管理 OAuth 2.0 アクセス トークンの存続期間を最大 12 時間延長することを許可する このリスト型制約は、存続期間が最大 12 時間の OAuth 2.0 アクセス トークンを付与できる一連のサービス アカウントを定義します。デフォルトでは、これらのアクセス トークンの最大存続期間は 1 時間です。
サービス アカウントの許可リストまたは拒否リストには、1 つ以上のサービス アカウントのメールアドレスを指定する必要があります。
constraints/iam.allowServiceAccountCredentialLifetimeExtension 		"is:"
Identity and Access Management ドメインで制限された共有 このリスト型制約は、プリンシパルを IAM ポリシーに追加できる 1 つ以上の Cloud Identity または Google Workspace のお客様 ID を定義します。
デフォルトでは、すべてのユーザー ID を IAM ポリシーに追加できます。
この制約が有効な場合、許可された顧客 ID に属するプリンシパルのみを IAM ポリシーに追加できます。
constraints/iam.allowedPolicyMemberDomains 		"is:"
Identity and Access Management プロジェクト間サービス アカウントの使用の無効化 適用した場合、サービス アカウントは、そのサービス アカウントと同じプロジェクトで実行中のジョブ（VM、関数など）にのみ（ServiceAccountUser ロールを使用して）デプロイできます。
constraints/iam.disableCrossProjectServiceAccountUsage 		"is:"
Identity and Access Management サービス アカウント作成の無効化 このブール型制約が True に設定されている場合、サービス アカウントの作成が無効になります。
デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントを作成できます。

constraints/iam.disableServiceAccountCreation		 "is:"
Identity and Access Management サービス アカウント キーの作成を無効化 このブール型制約を True に設定すると、サービス アカウントの外部キーの作成が無効になります。
デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいてサービス アカウントの外部キーを作成できます。

constraints/iam.disableServiceAccountKeyCreation		 "is:"
Identity and Access Management サービス アカウント キー アップロードの無効化 このブール型制約が「True」に設定されているサービス アカウントに公開鍵をアップロードできるようにする機能は、このブール型制約により無効になります。
デフォルトでは、ユーザーは Cloud IAM の役割と権限に基づいて公開鍵をサービス アカウントにアップロードできます。
constraints/iam.disableServiceAccountKeyUpload 		"is:"
Identity and Access Management Workload Identity クラスタ作成の無効化 このブール型制約を True に設定した場合、すべての新しい GKE クラスタでは作成時に Workload Identity が無効である必要があります。Workload Identity がすでに有効である既存の GKE クラスタは、引き続き通常どおり動作します。デフォルトでは、すべての GKE クラスタに対して Workload Identity を有効にできます。
constraints/iam.disableWorkloadIdentityClusterCreation 		"is:"
Identity and Access Management Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント Cloud IAM での Workload Identity 連携用に構成できる AWS アカウント ID のリスト。
constraints/iam.workloadIdentityPoolAwsAccounts 		"is:"
Identity and Access Management Cloud IAM のワークロード向けに許可されている外部の ID プロバイダ Cloud IAM 内のワークロード認証用に構成可能な ID プロバイダ。URI/URL により指定します。
constraints/iam.workloadIdentityPoolProviders		 "is:"
Anthos Service Mesh マネージド コントロール プレーン。 Anthos Service Mesh マネージド コントロール プレーンの許可済み VPC Service Controls モード この制約によって、新しい Anthos Service Mesh マネージド コントロール プレーンのプロビジョニング時に設定できる VPC Service Controls モードが決まります。有効な値は「NONE」と「COMPATIBLE」です。
constraints/meshconfig.allowedVpcscModes 		"is:"
Resource Manager 共有 VPC プロジェクト リーエンの削除を制限する このブール型制約を True に設定すると、組織レベルの権限なしで共有 VPC プロジェクト リーエンを削除できるユーザーが制限されます。
デフォルトでは、リーエンの更新権限を持つすべてのユーザーに共有 VPC プロジェクト リーエンの削除が許可されます。この制約を適用するには、組織レベルで権限を付与する必要があります。

constraints/compute.restrictXpnProjectLienRemoval 		"is:"
Resource Manager プロジェクト間サービス アカウントのリーエンの削除の制限 このブール型制約が「適用」された場合、ユーザーは組織レベルの権限がなければ、プロジェクト間サービス アカウントのリーエンを削除できなくなります。デフォルトでは、リーエンの更新権限を持つすべてのユーザーがプロジェクト間サービス アカウントのリーエンを削除できます。この制約を適用するには、組織レベルで権限を付与する必要があります。
constraints/iam.restrictCrossProjectServiceAccountLienRemoval 		"is:"
Resource Manager リソースクエリの公開設定を制限する このリスト型制約を組織リソースに適用すると、この制約が適用される組織のドメインのユーザーに関して、リスト取得と検索のメソッドで返される Google Cloud リソースのセットが定義されます。これを使用すると、リソース選択ツール、検索、[リソースの管理] ページなど、Cloud Console のさまざまな部分に表示されるリソースを制限できます。この制約は組織レベルのみで評価されます。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
constraints/resourcemanager.accessBoundaries 		"is:"、"under:"
Resource Manager 組織間の移動には有効なサービスの許可リストが必要 このリスト型制約は、サービスが有効になっているプロジェクトで組織間の移動が可能かどうかを確認するチェックとして機能します。サポートされているサービスが有効になっているリソースには、この制約を適用する必要があります。また、そのサポートされているサービスが、組織間での移動が可能となるよう、許可された値に含まれていることも必要です。サポートされている使用可能なサービス用に許可されている値の現在のリストは次のとおりです。
  • SHARED_VPC

この制約により、constraints/resourcemanager.allowedExportDestinations をさらに制御できます。この list_constraint はデフォルトでは空であり、エクスポート対象のリソースでサポートされているサービスが有効になっていない限り、組織間の移動はブロックされません。この制約により、別の組織への移動の際に特に注意を要する機能を使用して、リソースを細かく制御できます。デフォルトでは、サポートされているサービスが有効になっているリソースは、組織間で移動できません。
constraints/resourcemanager.allowEnabledServicesForExport 		"is:"
Resource Manager リソースのエクスポートが許可されている宛先 このリスト型制約は、リソースを移動できる外部組織を定義し、他のすべての組織へのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用すると、そのリソースは制約で明示的に許可されている組織にのみ移動できます。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
constraints/resourcemanager.allowedExportDestinations 		"is:"、"under:"
Resource Manager リソースのインポートを許可されている送信元 このリスト型制約は、リソースのインポートが可能な外部組織を定義し、他のすべての組織からのすべての移動を拒否します。デフォルトでは、組織間でリソースを移動することはできません。この制約をリソースに適用する場合、このリソースで直接インポートしたリソースを、この制約で明示的に許可する必要があります。組織内の移動には、この制約は適用されません。移動オペレーションでは、通常のリソース移動と同じ IAM 権限が引き続き必要になります。許可リストまたは拒否リストで指定する値は、under:organizations/ORGANIZATION_ID の形式である必要があります。
constraints/resourcemanager.allowedImportSources 		"is:"、"under:"
Cloud Run 許可される Binary Authorization ポリシー（Cloud Run） このリスト型制約は、Cloud Run リソースに指定できる Binary Authorization ポリシー名のセットを定義します。デフォルトでは、リソースには任意の Binary Authorization ポリシーを指定できます。
Binary Authorization ポリシーはプロジェクトごとに 1 つしか存在しないため、ポリシーの許可リストや拒否リストには値 default を使用する必要があります。

constraints/run.allowedBinaryAuthorizationPolicies 		"is:"
Cloud Run 許可される上り（内向き）設定（Cloud Run） このリスト型制約は、Cloud Run サービスに対して許可される上り（内向き）設定を定義します。この制約が適用されると、許可された値のいずれかに一致する上り（内向き）設定がサービスで必要になります。この制約に従わない上り（内向き）設定がある既存の Cloud Run サービスは、サービスの上り（内向き）設定がこの制約に従うように変更されるまで、引き続き更新できます。サービスがこの制約に従うようになると、サービスはこの制約で許可されている上り（内向き）設定のみを使用できます。
デフォルトでは、Cloud Run サービスは任意の上り（内向き）設定を使用できます。
許可リストには、サポートされている上り（内向き）設定値（all、internal、internal-and-cloud-load-balancing）を含める必要があります。

constraints/run.allowedIngress 		"is:"
Cloud Run 許可される VPC 下り（外向き）設定（Cloud Run） このリスト型制約は、Cloud Run サービスのリビジョンで許可される VPC 下り（外向き）設定を定義します。この制約が適用されると、サービスのリビジョンにサーバーレス VPC アクセス コネクタが必要になり、リビジョンの VPC 下り（外向き）設定が許可された値のいずれかに一致することが求められます。
既存のサービスの場合、新しくデプロイするリビジョンはすべて、この制約に従う必要があります。この制約に従わないトラフィックを処理するリビジョンの既存のサービスは、この制約に従わないリビジョンに引き続きトラフィックを移行できます。サービスのすべてのトラフィックが、この制約に従ったリビジョンによって処理されると、それ以降のトラフィックの移行では、この制約に従うリビジョンにのみトラフィックを移行する必要があります。
デフォルトでは、Cloud Run のリビジョンは VPC 下り（外向き）設定を、サポートされている任意の値に設定できます。
許可リストには、サポートされている VPC 下り（外向き）設定の値（private-ranges-only と all-traffic）を含める必要があります。

constraints/run.allowedVPCEgress 		"is:"
Service Consumer Management デフォルトのサービス アカウントに対する IAM ロールの自動付与の無効化 このブール型制約を適用すると、プロジェクトで作成されたデフォルト の App Engine サービス アカウントと Compute Engine サービス アカウントは、アカウント作成時にプロジェクトの IAM ロールを自動的に付与しなくなります。
デフォルトでは、これらのサービス アカウントには作成時に編集者のロールが自動的に付与されます。
constraints/iam.automaticIamGrantsForDefaultServiceAccounts 		"is:"
Cloud Storage Google Cloud Platform - 詳細な監査ロギングモード 詳細な監査ロギングモードが適用されている場合は、リクエストとレスポンスの両方が Cloud Audit Logs に含まれます。この機能を変更すると、反映されるまで 10 分ほどかかることがあります。SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d)、FINRA Rule 4511(c) などのコンプライアンスが目標である場合は、この組織ポリシーをバケットロックと連携して使用することを強くおすすめします。現時点でこのポリシーは Google Cloud Storage のみでサポートされています。
constraints/gcp.detailedAuditLoggingMode 		"is:"
Cloud Storage 公開アクセスの防止を適用する 公開アクセスの防止を適用して、Cloud Storage データが一般に公開されないようにします。このガバナンス ポリシーは、既存のリソースや将来のリソースが公共のインターネットを介してアクセスされないように、allUsers と allAuthenticatedUsers にアクセス権を付与する ACL と IAM 権限を無効にしてブロックします。組織全体（推奨）、特定のプロジェクト、特定のフォルダにこのポリシーを適用することによって、データが公開されないようにできます。
このポリシーは、一般公開につながる既存の権限をオーバーライドします。このポリシーを有効にすると、既存のバケットとオブジェクトに対する公開アクセスが取り消されます。
constraints/storage.publicAccessPrevention 		"is:"
Cloud Storage 保持ポリシー期間（秒） このリスト型制約は、Cloud Storage バケットに設定できる保持ポリシーの期間を定義します。
デフォルトでは、組織のポリシーが指定されない場合、任意の期間の保持ポリシーを Cloud Storage バケットに格納できます。
許可期間のリストは、保持ポリシーを秒単位で表す、0 より大きい正の整数値として指定される必要があります。
組織リソース内のバケットに対する挿入、更新、またはパッチ オペレーションには、制約と一致する保持ポリシー期間を設定する必要があります。
この制約は遡って適用されることはありません。新しい組織のポリシーが適用されても、既存のバケットの保持ポリシーは変更されず有効なままです。

constraints/storage.retentionPolicySeconds 		"is:"
Cloud Storage 均一なバケットレベルのアクセスの適用 このブール型制約を True に設定すると、バケットで、均一なバケットレベルのアクセスを使用することが必須となります。組織リソース内に新規作成するバケットでは、均一なバケットレベルのアクセスを有効にする必要があります。組織リソース内の既存バケットで、均一なバケットレベルのアクセスを無効にすることはできません。
この制約は遡って適用されることはありません。均一なバケットレベルのアクセスが無効になっている既存のバケットでは、無効なままです。この制約のデフォルト値は False です。
均一なバケットレベルのアクセスでは、バケット内の Cloud Storage オブジェクトに割り当てられた ACL の評価は無効になります。そのため、IAM ポリシーによってのみ、これらのバケット内のオブジェクトへのアクセス権が付与されます。

constraints/storage.uniformBucketLevelAccess 		"is:"

入門ガイド

個別の制約を使用する方法については、以下をご覧ください。

制約 入門ガイド
constraints/cloudbuild.allowedIntegrations 外部サービスからトリガーされるビルドの制限
constraints/cloudfunctions.allowedIngressSettings VPC Service Controls を使用する
constraints/cloudfunctions.allowedVpcConnectorEgressSettings VPC Service Controls を使用する
cloudfunctions.requireVPCConnector VPC Service Controls を使用する
constraints/compute.restrictCloudNATUsage Cloud NAT の使用制限
constraints/compute.restrictLoadBalancerCreationForTypes Cloud Load Balancing の制約
constraints/compute.restrictProtocolForwardingCreationForTypes プロトコル転送の制約
constraints/compute.restrictDedicatedInterconnectUsage
constraints/compute.restrictPartnerInterconnectUsage		 Cloud Interconnect の使用の制限
constraints/compute.restrictVpnPeerIPs Cloud VPN トンネルを経由したピア IP アドレスの制限
constraints/compute.trustedImageProjects イメージへのアクセスの制限
constraints/compute.vmExternalIpAccess VM の外部 IP アクセスの無効化
constraints/compute.requireVpcFlowLogs VPC フローログの組織のポリシーに関する制約
constraints/iam.allowedPolicyMemberDomains ドメイン別の ID の制限
constraints/iam.allowServiceAccountCredentialLifetimeExtension OAuth 2.0 アクセス トークンの存続時間を延長する
constraints/iam.disableCrossProjectServiceAccountUsage サービス アカウントの別のプロジェクト内のリソースへのアタッチ
constraints/iam.disableServiceAccountCreation サービス アカウントの作成の制限
constraints/iam.disableServiceAccountKeyCreation サービス アカウント キーの作成の制限
constraints/iam.disableServiceAccountKeyUpload サービス アカウント キーのアップロードを制限する
constraints/iam.disableWorkloadIdentityClusterCreation Workload Identity クラスタの作成を制限する
constraints/iam.restrictCrossProjectServiceAccountLienRemoval サービス アカウントの別のプロジェクト内のリソースへのアタッチ
constraints/gcp.detailedAuditLoggingMode
constraints/storage.retentionPolicySeconds
constraints/storage.uniformBucketLevelAccess
constraints/storage.publicAccessPrevention		 Cloud Storage の組織のポリシーに関する制約
constraints/gcp.disableCloudLogging Cloud Logging を無効にする
constraints/gcp.resourceLocations リソース ロケーションの制限
constraints/compute.restrictCloudNATUsage Cloud NAT の組織のポリシーに関する制約
constraints/resourcemanager.accessBoundaries ユーザーのプロジェクト公開設定の制限
constraints/run.allowedIngress VPC Service Controls を使用する
constraints/run.allowedVPCEgress VPC Service Controls を使用する

詳細

組織ポリシーの基本コンセプトの詳細については、以下をご覧ください。