组织政策限制条件

可用限制条件

您可以指定使用以下限制条件的政策。

多个 Google Cloud 服务支持的限制条件

限制条件 说明 支持的前缀
Google Cloud Platform - 资源位置限制 此列表限制条件定义了可以创建基于位置的 GCP 资源的一组位置。
默认情况下，可以在任何位置创建资源。
针对此限制条件的政策可以将多地区（例如 asia 和 europe）和单地区（例如 us-east1 或 europe-west1）指定为允许或拒绝的位置。允许或拒绝多地区并不表示也应该允许或拒绝其中包含的所有子位置。例如，如果政策拒绝了 us 多地区，则仍可以在地区位置 us-east1 中创建资源。
我们建议您使用值组来定义政策。
您可以指定值组（即由 Google 精心挑选的一组位置），以便更方便地定义您的资源位置。如需在组织政策中使用值组，请在您的条目前面添加 in: 字符串作为前缀，并后跟值组。
例如，要创建仅位于美国的资源，请在允许的值列表中设置 in:us-locations。
如果在位置政策中使用了 suggested_value 字段，则该字段应为地区。如果指定的值为地区，则区域资源的界面可以预填充该地区中的任何区域。
constraints/gcp.resourceLocations 		"is:"、"in:"
限制允许的 Google Cloud API 和服务 此列表限制条件限制了可以针对此资源启用的一组服务及其 API。默认情况下，允许启用所有服务。
遭拒的服务的列表必须来自以下列表。目前不支持通过此限制条件明确启用 API。如果指定的 API 不在此列表中，则会导致错误。
实施此限制条件不会影响先前的操作。也就是说，在实施此限制条件后，资源中之前启用的服务仍会保持启用状态。

constraints/serviceuser.services 		"is:"

特定服务的限制条件

服务 限制条件 说明 支持的前缀
App Engine 停用源代码下载功能 不允许下载之前上传到 App Engine 的源代码。
constraints/appengine.disableCodeDownload		 "is:"
Cloud Functions 允许使用的入站流量设置 (Cloud Functions) 此列表限制条件指定了 Cloud Functions 函数部署可使用的入站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的入站流量设置。
默认情况下，Cloud Functions 函数可以使用任意入站流量设置。
入站流量设置必须使用 IngressSettings 枚举的值在允许列表中指定。

constraints/cloudfunctions.allowedIngressSettings 		"is:"
允许使用的 VPC 连接器出站流量设置 (Cloud Functions) 此列表限制条件定义了部署 Cloud Functions 函数时允许使用的 VPC 连接器出站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的 VPC 连接器出站流量设置。
默认情况下，Cloud Functions 可以使用任何 VPC 连接器出站流量设置。
必须使用 VpcConnectorEgressSettings 枚举的值在允许列表中指定 VPC 连接器出站流量设置。

constraints/cloudfunctions.allowedVpcConnectorEgressSettings 		"is:"
要求使用 VPC 连接器 (Cloud Functions) 当您部署 Cloud Functions 函数时，此布尔值限制条件会强制设置 VPC 连接器。当强制执行此限制条件时，函数需要指定一个 VPC 连接器。
默认情况下，无需指定 VPC 连接器即可部署 Cloud Functions 函数。

constraints/cloudfunctions.requireVPCConnector 		"is:"
Cloud SQL 限制 Cloud SQL 实例使用默认的 Google 管理的加密功能 BETA 版：此布尔值限制条件设为 True 时，所有新创建、重启或更新的 Cloud SQL 实例都必须使用客户管理的加密密钥 (CMEK)。此限制条件不会影响先前的操作（这意味着使用 Google 管理的加密功能的现有实例不会受到影响，除非这些实例发生了更新或刷新）。
默认情况下，此限制条件设置为 False，即允许 Cloud SQL 实例使用 Google 管理的加密功能。

constraints/sql.disableDefaultEncryptionCreation 		"is:"
限制 Cloud SQL 实例的授权网络 设为 True 时，此布尔值限制条件会限制向 Cloud SQL 实例添加授权网络来进行无代理的数据库访问。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有授权网络的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许向 Cloud SQL 实例添加授权网络。

constraints/sql.restrictAuthorizedNetworks 		"is:"
限制 Cloud SQL 实例的公共 IP 访问权限 设置为 True 时，该布尔值限制条件会限制在 Cloud SQL 实例上配置公共 IP 地址。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有公共 IP 访问权限的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许为 Cloud SQL 实例配置公共 IP 访问权限。

constraints/sql.restrictPublicIp 		"is:"
Compute Engine 停用 Compute Engine 元数据的客机特性 设为 True 时，此布尔值限制条件会禁止通过 Compute Engine API 访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机的客机特性。
默认情况下，系统允许使用 Compute Engine API 访问 Compute Engine 虚拟机的客机特性。

constraints/compute.disableGuestAttributesAccess 		"is:"
停用互联网网络端点组 此布尔值限制条件限定用户能否创建类型 (type) 为 INTERNET_FQDN_PORT 和 INTERNET_IP_PORT 的互联网网络端点组 (NEG)。
默认情况下，具有相应 IAM 权限的任何用户都可以在任何项目中创建互联网 NEG。
constraints/compute.disableInternetNetworkEndpointGroup		 "is:"
停用虚拟机嵌套虚拟化 设置为 True 时，此布尔值限制条件会对属于相应组织、项目或文件夹的所有 Compute Engine 虚拟机停用硬件加速的嵌套虚拟化功能。
默认情况下，在 Intel Haswell 或更新的 CPU 平台上运行的所有 Compute Engine 虚拟机都可以使用硬件加速的嵌套虚拟化功能。

constraints/compute.disableNestedVirtualization 		"is:"
停用虚拟机串行端口访问权限 设置为 True 时，此布尔值限制条件会禁止通过串行端口访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机。
默认情况下，客户可以使用元数据特性针对单个虚拟机或项目进行 Compute Engine 虚拟机串行端口访问。无论元数据特性如何，实施此限制条件都会停用 Compute Engine 虚拟机的串行端口访问权限。

constraints/compute.disableSerialPortAccess 		"is:"
禁止虚拟机串行端口输出记录到 Stackdriver 此布尔值限制条件会禁止串行端口从属于实施了此限制条件的组织、项目或文件夹的 Compute Engine 虚拟机输出记录到 Stackdriver。
默认情况下，Compute Engine 虚拟机的串行端口输出日志记录功能处于停用状态，您可以使用元数据特性针对单个虚拟机或项目有选择地启用此功能。实施这项限制条件时，系统会为新创建的 Compute Engine 虚拟机停用串行端口输出日志记录功能，并禁止用户将任何虚拟机（无论新旧）的元数据特性更改为 True。
constraints/compute.disableSerialPortLogging 		"is:"
要求使用 OS Login 设为 true 时，此布尔值限制条件会为所有新创建的项目启用 OS Login。在新项目中创建的所有虚拟机实例都将启用 OS Login。在新项目和现有的项目中，此限制条件可防止会在项目或实例级停用 OS Login 的元数据更新。
默认情况下，OS Login 功能在 Compute Engine 项目中处于停用状态。
GKE 实例目前不支持 OS Login。如果对某一项目应用此限制条件，则在该项目中运行的 GKE 实例可能无法正常运行。
constraints/compute.requireOsLogin 		"is:"
安全强化型虚拟机 如果此布尔值限制条件设为 True，则所有新 Compute Engine 虚拟机实例都必须使用启用了安全启动、vTPM 和完整性监控选项的安全强化型磁盘映像。如果需要，您可以在创建实例后停用安全启动。运行中的现有实例会继续正常运行。
默认情况下，无需启用安全强化型虚拟机功能即可创建 Compute Engine 虚拟机实例。安全强化型虚拟机功能可为您的虚拟机添加可验证的完整性和抗渗漏性。
constraints/compute.requireShieldedVm 		"is:"
限制经过身份验证的 Google 连接 此列表限制条件定义了可以使用经过身份验证的 Google 连接（生产环境到云端）的一组 Compute Engine 虚拟机。不支持只使用经过身份验证的 Google 连接。仅在 constraints/compute.restrictDirectGoogleAccess（云端到生产环境）和 constraints/compute.restrictAuthenticatedGoogleConnection（生产环境到云端）允许的情况下，虚拟机才可以使用双向 Google 访问通道。默认情况下，所有子网都可以使用任何类型的直接 Google 访问通道。虚拟机的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE_NAME/instances/INSTANCE_NAME.
constraints/compute.restrictAuthenticatedGoogleConnection 		"is:"、"under:"
限制 Cloud NAT 用量 此列表限制条件定义了可以使用 Cloud NAT 的一组子网。默认情况下，所有子网都可以使用 Cloud NAT。子网的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME。
constraints/compute.restrictCloudNATUsage 		"is:"、"under:"
限制专用互连用量 此列表限制条件定义了一组可以使用专用互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictDedicatedInterconnectUsage 		"is:"、"under:"
限制直接 Google 访问通道 此列表限制条件定义了可以使用直接 Google 访问通道（云端到生产环境）的一组 Compute Engine 虚拟机。默认情况下，所有子网都可以使用任何类型的直接 Google 访问通道。虚拟机的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE_NAME/instances/INSTANCE_NAME.
constraints/compute.restrictDirectGoogleAccess 		"is:"、"under:"
根据负载平衡器类型限制负载平衡器的创建 此列表限制条件定义了可以为组织、文件夹或项目创建的负载平衡器类型。必须明确列出各个要允许或拒绝的负载平衡器类型。默认情况下，允许创建所有类型的负载平衡器。
允许或拒绝值列表必须使用负载平衡器的字符串名称进行标识，并且只能包含下方列表中的值：
  • INTERNAL_TCP_UDP
  • INTERNAL_HTTP_HTTPS
  • EXTERNAL_NETWORK_TCP_UDP
  • EXTERNAL_TCP_PROXY
  • EXTERNAL_SSL_PROXY
  • EXTERNAL_HTTP_HTTPS

要包含所有内部或所有外部负载平衡器类型，请使用 in: 前缀，后跟 NTERNAL 或 EXTERNAL。例如，通过允许 in:INTERNAL 将允许上述列表中包含 INTERNAL 的所有负载平衡器类型。
constraints/compute.restrictLoadBalancerCreationForTypes 		"is:"、"in:"
限制非机密计算 此列表限制条件的拒绝名单定义了一组要求在启用机密计算的情况下创建所有新资源的服务。默认情况下，使用机密计算时并非必须使用新资源。虽然强制执行了此列表限制条件，但系统无法在整个资源生命周期内都停用机密计算。现有资源会继续照常运行。拒绝的服务列表必须使用 API 的字符串名称进行标识，并且只能包含下方列表中明确拒绝的值。系统目前不支持明确允许 API。明确拒绝不在此列表中的 API 将导致出错。支持的 API 列表：[compute.googleapis.com]
constraints/compute.restrictNonConfidentialComputing		 "is:"
限制合作伙伴互连用量 此列表限制条件定义了一组可以使用合作伙伴互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictPartnerInterconnectUsage 		"is:"、"under:"
根据 IP 地址类型限制协议转发 此列表限制条件定义了用户可以创建的带有目标实例的协议转发规则对象类型。实施此限制条件后，根据指定的类型，带有目标实例的新转发规则对象将仅限于内部和/或外部 IP 地址。必须明确列出要允许或拒绝的类型。默认情况下，允许创建带有目标实例的内部和外部协议转发规则对象。
允许或拒绝值列表只能包含下方列表中的值：
  • INTERNAL
  • EXTERNAL
。
constraints/compute.restrictProtocolForwardingCreationForTypes 		"is:"
限制共享 VPC 宿主项目 此列表限制条件定义了一组共享 VPC 宿主项目，此资源中或其子资源中的项目可以附加到这组共享项目。默认情况下，一个项目可以附加到同一组织中的任何宿主项目，从而成为服务项目。允许/拒绝列表中的项目、文件夹和组织会影响资源层次结构中位于其自身下方的所有对象，并且必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID。
constraints/compute.restrictSharedVpcHostProjects 		"is:"、"under:"
限制共享 VPC 子网 此列表限制条件定义了符合条件的资源可以使用的一组共享 VPC 子网络。此限制条件不适用于同一项目中的资源。默认情况下，符合条件的资源可以使用任何共享 VPC 子网络。子网的允许/拒绝列表必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME。
constraints/compute.restrictSharedVpcSubnetworks 		"is:"、"under:"
限制 VPC 对等互连用量 此列表限制条件定义了可与属于此项目、文件夹或组织的 VPC 网络建立对等互连的一组 VPC 网络。默认情况下，一个网络的 Network Admin 可与其他任何网络建立对等互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
此限制条件具有追溯性。
constraints/compute.restrictVpcPeering 		"is:"、"under:"
限制 VPN 对等 IP 此列表限制条件定义了可配置为 VPN 对等 IP 的一组有效 IP-v4 地址。默认情况下，任何 IP 都可以是 VPC 网络的 VPN 对等 IP。IP 地址的允许/拒绝列表必须指定为以下格式的有效 IP-v4 地址：IP_V4_ADDRESS。
constraints/compute.restrictVpnPeerIPs 		"is:"
跳过默认网络创建 设置为 True 时，此布尔值限制条件会在 Google Cloud Platform 项目资源创建期间跳过默认网络和相关资源的创建作业。默认情况下，系统会在创建项目资源时自动创建默认网络和支持资源。

constraints/compute.skipDefaultNetworkCreation 		"is:"
Compute 存储资源使用限制（Compute Engine 磁盘、映像和快照） 此列表限制条件定义了一组可以使用 Compute Engine 存储资源的项目。默认情况下，任何具有相应 Cloud IAM 权限的人员都可以访问 Compute Engine 资源。使用此限制条件时，用户必须具备 Cloud IAM 权限，且不能被限制条件限制访问资源。
允许或拒绝列表中指定的项目、文件夹和组织必须分别采用以下格式：under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID。

constraints/compute.storageResourceUseRestrictions 		"is:"、"under:"
定义可信映像项目 此列表限制条件定义了一组可用于针对 Compute Engine 进行映像存储和磁盘实例化的项目。
默认情况下，可以基于向该用户公开或明确共享映像的任何项目中的映像创建实例。
发布商项目的允许/拒绝列表必须是采用以下格式的字符串：projects/PROJECT_ID。如果此限制条件已启用，那么只有可信项目中的映像可用作新实例启动磁盘的来源。

constraints/compute.trustedImageProjects 		"is:"
限制虚拟机 IP 转发功能 此列表限制条件定义了可启用 IP 转发功能的一组虚拟机实例。默认情况下，任何虚拟机都可以在任何虚拟网络中启用 IP 转发功能。虚拟机实例必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME。
constraints/compute.vmCanIpForward 		"is:"、"under:"
为虚拟机实例定义允许的外部 IP 地址 此列表限制条件定义了一组可以使用外部 IP 地址的 Compute Engine 虚拟机实例。
默认情况下，所有虚拟机实例都可以使用外部 IP 地址。
虚拟机实例的允许/拒绝列表必须由虚拟机实例名称标识，格式为：projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

constraints/compute.vmExternalIpAccess		 "is:"
Cloud Healthcare 停用 Cloud Logging 在实施此限制条件的组织、项目或文件夹中停用 Cloud Logging。审核日志不受此限制条件影响。
在实施该限制条件之前生成的日志不会被删除，仍然可供访问。
只有 Cloud Healthcare API 支持此限制条件。
constraints/gcp.disableCloudLogging 		"is:"
身份和访问权限管理 允许将 OAuth 2.0 访问令牌的生命周期延长至 12 小时 此列表限制条件定义了一组可以授予生命周期长达 12 小时的 OAuth 2.0 访问令牌的服务帐号。默认情况下，这些访问令牌的最长生命周期为 1 小时。
服务帐号的允许/拒绝列表必须指定一个或多个服务帐号电子邮件地址。
constraints/iam.allowServiceAccountCredentialLifetimeExtension 		"is:"
网域限定共享 此列表限制条件定义了可添加至 Cloud IAM 政策的成员组。
默认情况下，所有用户身份都可以添加至 Cloud IAM 政策。
允许/拒绝列表必须指定一个或多个 Cloud Identity 或 G Suite 客户 ID。如果启用了此限制条件，则只有允许列表中的身份才可以添加至 Cloud IAM 政策。

constraints/iam.allowedPolicyMemberDomains 		"is:"
禁止创建服务帐号 设置为“True”时，此布尔值限制条件会禁止创建服务帐号。
默认情况下，用户可根据其 Cloud IAM 角色和权限创建服务帐号。

constraints/iam.disableServiceAccountCreation 		"is:"
停用服务帐号密钥创建功能 设置为“True”时，此布尔值限制条件会禁止创建服务帐号外部密钥。
默认情况下，用户可根据其 Cloud IAM 角色和权限创建服务帐号外部密钥。

constraints/iam.disableServiceAccountKeyCreation		 "is:"
停用服务帐号密钥上传功能 设置为“True”时，此布尔值限制条件会停用允许向服务帐号上传公钥的功能。
默认情况下，用户可根据其 Cloud IAM 角色和权限向服务帐号上传公钥。
constraints/iam.disableServiceAccountKeyUpload		 "is:"
停用 Workload Identity 集群创建 设置为“True”时，此布尔值限制条件会要求所有新的 GKE 集群在创建时停用 Workload Identity。已启用 Workload Identity 的现有 GKE 集群会继续正常运行。默认情况下，可以为任何 GKE 集群启用 Workload Identity。
constraints/iam.disableWorkloadIdentityClusterCreation 		"is:"
Resource Manager 限制共享 VPC 项目安全锁移除作业 设置为 True 时，此布尔值限制条件会限制无组织级层权限、但能够移除共享 VPC 项目安全锁的一组用户。
默认情况下，任何具有安全锁更新权限的用户都可以移除共享 VPC 项目安全锁。实施此限制条件需要在组织级层授予权限。

constraints/compute.restrictXpnProjectLienRemoval		 "is:"
服务使用者管理 停用默认服务帐号的自动 IAM 授权 强制执行此布尔值限制条件后，当创建帐号时，在项目中创建的默认 App Engine 和 Compute Engine 服务帐号将无法自动获得项目的任何 IAM 角色。
默认情况下，这些服务帐号在创建后会自动获得 Editor 角色。
constraints/iam.automaticIamGrantsForDefaultServiceAccounts 		"is:"
Cloud Storage Google Cloud Platform - 详细的审核日志模式 强制执行详细的审核日志模式时，请求和响应都会包含在 Cloud Audit Logs 中。对此功能进行的更改最多可能需要 10 分钟才会生效。在寻求满足 SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d) 和 FINRA Rule 4511(c) 等合规性要求时，强烈建议将此组织政策与存储分区锁定搭配使用。仅 Google Cloud Storage 支持此政策。
constraints/gcp.detailedAuditLoggingMode 		"is:"
保留政策时长（秒） 此列表限制条件定义了可针对 Cloud Storage 存储分区设置的一组保留政策时长。
默认情况下，如果未指定任何组织政策，Cloud Storage 存储分区的保留政策将没有任何时长限制。
允许的时长列表必须指定为大于零的正整数值，并以秒作为保留政策时长的时间单位。
对组织资源中的存储分区执行的任何插入、更新或修补操作都必须具有与此限制条件一致的保留政策时长。
实施此限制条件不会影响先前的操作。也就是说，在应用新的组织政策后，现有存储分区的保留政策将保持不变并继续有效。

constraints/storage.retentionPolicySeconds 		"is:"
实施统一的存储分区级访问权限 此布尔值限制条件设置为 True 时，存储分区必须使用统一的存储分区级访问权限。组织资源中的所有新存储分区都必须启用统一的存储分区级访问权限，并且组织资源中的任何存储分区都不得停用统一的存储分区级访问权限。
实施此限制条件不会影响先前的操作；也就是说，已停用统一的存储分区级访问权限的现有存储分区将继续停用该权限。此限制条件的默认值为 False。
统一的存储分区级访问权限会禁止评估分配给该存储分区中的 Cloud Storage 对象的 ACL。因此，只有 IAM 政策会授予对这些存储分区中对象的访问权限。

constraints/storage.uniformBucketLevelAccess 		"is:"

方法指南

如需详细了解如何使用各个限制条件：

限制条件 方法指南
constraints/cloudfunctions.allowedIngressSettings 使用 VPC Service Controls
constraints/compute.restrictCloudNATUsage 限制 Cloud NAT 用量
constraints/compute.restrictLoadBalancerCreationForTypes Cloud Load Balancing 限制条件
constraints/compute.restrictProtocolForwardingCreationForTypes 协议转发限制条件
constraints/compute.restrictDedicatedInterconnectUsage
constraints/compute.restrictPartnerInterconnectUsage		 限制 Cloud Interconnect 用量
constraints/compute.restrictVpnPeerIPs 通过 Cloud VPN 隧道限制对等 IP 地址
constraints/compute.trustedImageProjects 限制对映像的访问
constraints/compute.vmExternalIpAccess 停用虚拟机的外部 IP 访问权限
constraints/iam.allowedPolicyMemberDomains 按网域限制身份
constraints/iam.allowServiceAccountCredentialLifetimeExtension 延长 OAuth 2.0 访问令牌的生命周期
constraints/iam.disableServiceAccountCreation 限制服务帐号的创建
constraints/iam.disableServiceAccountKeyCreation 限制服务帐号密钥的创建
constraints/iam.disableServiceAccountKeyUpload 限制服务帐号密钥上传功能
constraints/iam.disableWorkloadIdentityClusterCreation 限制工作负载身份集群创建功能
constraints/gcp.detailedAuditLoggingMode
constraints/storage.retentionPolicySeconds
constraints/storage.uniformBucketLevelAccess		 Cloud Storage 的组织政策限制
constraints/gcp.disableCloudLogging 停用 Cloud Logging
constraints/gcp.resourceLocations 限制资源位置
constraints/compute.restrictCloudNATUsage 在 Cloud NAT 中设置组织政策

了解详情

如需详细了解组织政策的核心概念：