组织政策限制条件

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

可用限制条件

您可以指定使用以下限制条件的政策。

多个 Google Cloud 服务支持的限制条件

限制条件 说明 支持的前缀
允许的工作器池 (Cloud Build) 此列表限制条件定义了一组允许使用 Cloud Build 执行构建的 Cloud Build 工作器池。当强制执行此限制条件时，构建必须在与其中一个允许的值匹配的工作器池中进行。
默认情况下，Cloud Build 可以使用任何工作器池。
工作器池的许可名单必须采用以下格式：
  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID


    • constraints/cloudbuild.allowedWorkerPools
"is:"，"under:"
Google Cloud Platform - 资源位置限制 此列表限制条件定义了可以创建基于位置的 GCP 资源的一组位置。
默认情况下，可以在任何位置创建资源。
针对此限制条件的政策可以将多地区（例如 asia 和 europe）和单地区（例如 us-east1 或 europe-west1）指定为允许或拒绝的位置。允许或拒绝多地区并不表示也应该允许或拒绝其中包含的所有更具体的位置。例如，如果政策拒绝 us 多区域（表示多区域资源，例如某些存储服务），您仍然可以在区域位置 us-east1 中创建资源。另一方面，in:us-locations 组包含 us 区域内的所有位置，并且可用于阻止每个区域。
建议使用值组来定义政策。
您可以指定值组（即由 Google 精心挑选的一组位置），以便更方便地定义您的资源位置。如需在组织政策中使用值组，请为您的条目前添加 in: 字符串作为前缀，后跟值组。
例如，要创建仅位于美国的资源，请在允许的值列表中设置 in:us-locations。
如果在位置政策中使用了 suggested_value 字段，则该字段应为区域。如果指定的值为地区，则区域资源的界面可以预填充该地区中的任何区域。
constraints/gcp.resourceLocations 		"is:"，"in:"
限制哪些项目可以为 CMEK 提供 KMS CryptoKey 此列表限制条件定义了在创建资源时可以使用哪些项目来提供客户管理的加密密钥 (CMEK)。若将此限制条件设为 Allow（即仅允许来自这些项目的 CMEK 密钥），可确保来自其他项目的 CMEK 密钥无法用来保护新创建的资源。此限制条件的值必须以 under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID 的形式指定。可实施此限制条件的受支持服务包括：
  • artifactregistry.googleapis.com
  • bigtable.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
此限制条件的实施可能会随着时间的推移而增加，以包含附加服务。对于混合使用受支持和不受支持的服务的项目、文件夹或组织，请谨慎使用此限制条件。不允许将此限制条件设为 Deny 或 Deny All。实施此限制条件没有追溯性。对于使用来自非允许项目的 KMS CryptoKey 的现有 CMEK GCP 资源，必须手动对其进行重新配置或重新创建，以确保实施此限制条件。
constraints/gcp.restrictCmekCryptoKeyProjects 		"is:"，"under:"
限制哪些服务可以在没有 CMEK 的情况下创建资源 此列表限制条件定义了哪些服务需要客户管理的加密密钥 (CMEK)。如果将此限制条件设为 Deny（即拒绝在没有 CMEK 的情况下创建资源），那么对于指定服务，必须使用 CMEK 密钥保护新创建的资源。可实施此限制条件的受支持服务包括：
  • artifactregistry.googleapis.com
  • bigtable.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • logging.googleapis.com
  • pubsub.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
不允许将此限制条件设置为 Deny All。不允许将此限制条件设置为 Allow。实施此限制条件没有追溯性。必须手动重新配置或重新创建现有的非 CMEK GCP 资源，以确保实施此限制条件。
constraints/gcp.restrictNonCmekServices 		"is:"
限制资源服务使用 此限制条件定义了一组可在组织、文件夹或项目中使用的 Google Cloud 资源服务，例如 compute.googleapis.com 和 storage.googleapis.com。
默认情况下，允许使用所有 Google Cloud 资源服务。
constraints/gcp.restrictServiceUsage 		"is:"
对区域级资源停用 Identity-Aware Proxy (IAP) 强制执行此布尔值限制条件时，系统会禁止在区域级资源上启用 Identity-Aware Proxy。在全球性资源上启用 IAP 不受此限制条件的限制。
默认情况下，允许在区域级资源上启用 IAP。
constraints/iap.requireRegionalIapWebDisabled 		"is:"
限制允许的 Google Cloud API 和服务 此列表限制条件限制了可以针对此资源启用的一组服务及其 API。默认情况下，允许启用所有服务。
遭拒的服务的列表必须来自以下列表。目前不支持通过此限制条件明确启用 API。如果指定的 API 不在此列表中，则会导致错误。
实施此限制条件不会影响先前的操作。也就是说，在实施此限制条件后，资源中之前启用的服务仍会保持启用状态。

constraints/serviceuser.services 		"is:"

特定服务的限制条件

服务 限制条件 说明 支持的前缀
App Engine 停用源代码下载 停用之前上传到 App Engine 的源代码的下载。
constraints/appengine.disableCodeDownload 		"is:"
BigQuery 停用适用于 Cloud AWS 的 BigQuery Omni 如果此布尔值限制条件设为 True，系统将禁止用户使用 BigQuery Omni 来处理对其强制执行此限制条件的 Amazon Web Services 上的数据。
constraints/bigquery.disableBQOmniAWS 		"is:"
BigQuery 停用适用于 Cloud Azure 的 BigQuery Omni 如果此布尔值限制条件设为 True，系统将禁止用户使用 BigQuery Omni 来处理对其强制执行此限制条件的 Microsoft Azure 上的数据。
constraints/bigquery.disableBQOmniAzure 		"is:"
Cloud Build 允许的集成 (Cloud Build) 此列表限制条件定义了允许的 Cloud Build 集成，这些集成通过接收 GCP 外部服务的 webhook 来执行构建。如果强制执行此限制条件，系统只会在服务的主机匹配了某个允许的值时处理 webhook。
默认情况下，对于具有至少一个 LIVE 触发器的项目，Cloud Build 会处理所有网络钩子。
constraints/cloudbuild.allowedIntegrations 		"is:"
Cloud Deploy 停用 Cloud Deploy 服务标签 如果强制执行此布尔值限制条件，Cloud Deploy 就无法将 Cloud Deploy 标识符标签添加到所部署的对象。
默认情况下，在版本创建期间，系统会将标识 Cloud Deploy 资源的标签添加到所部署的对象。
constraints/clouddeploy.disableServiceLabelGeneration 		"is:"
Cloud Functions 允许的入站流量设置 (Cloud Functions) 此列表限制条件指定了 Cloud Functions 函数部署可使用的入站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的入站流量设置。
默认情况下，Cloud Functions 函数可以使用任意入站流量设置。
入站流量设置必须使用 IngressSettings 枚举的值在允许列表中指定。

constraints/cloudfunctions.allowedIngressSettings 		"is:"
Cloud Functions 允许使用的 VPC 连接器出站流量设置 (Cloud Functions) 此列表限制条件定义了部署 Cloud Functions 函数时允许使用的 VPC 连接器出站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的 VPC 连接器出站流量设置。
默认情况下，Cloud Functions 可以使用任何 VPC 连接器出站流量设置。
必须使用 VpcConnectorEgressSettings 枚举的值在允许列表中指定 VPC 连接器出站流量设置。

constraints/cloudfunctions.allowedVpcConnectorEgressSettings 		"is:"
Cloud Functions 需要 VPC 连接器 (Cloud Functions) 当您部署 Cloud Functions 函数时，此布尔值限制条件会强制设置 VPC 连接器。当强制执行此限制条件时，函数需要指定一个 VPC 连接器。
默认情况下，无需指定 VPC 连接器即可部署 Cloud Functions 函数。

constraints/cloudfunctions.requireVPCConnector 		"is:"
Cloud KMS 限制可以创建哪些 KMS CryptoKey 类型。 此列表限制条件指定了可以在给定层次结构节点下创建的 Cloud KMS 密钥类型。实施此限制条件后，只有此组织政策中指定的 KMS 密钥类型可以在关联的层次结构节点中创建。配置此组织政策还会影响导入作业和密钥版本的保护级别。默认情况下，系统允许创建所有密钥类型。有效值为：SOFTWARE、HSM、EXTERNAL、EXTERNAL_VPC。不允许拒绝政策。
constraints/cloudkms.allowedProtectionLevels 		"is:"
Cloud SQL 在 Cloud SQL 实例上限制已获授权的网络 设为 True 时，此布尔值限制条件会限制向 Cloud SQL 实例添加授权网络来进行无代理的数据库访问。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有授权网络的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许向 Cloud SQL 实例添加授权网络。

constraints/sql.restrictAuthorizedNetworks 		"is:"
Cloud SQL 限制 Cloud SQL 实例的公共 IP 访问权限 设置为 True 时，该布尔值限制条件会限制在 Cloud SQL 实例上配置公共 IP 地址。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有公共 IP 访问权限的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许为 Cloud SQL 实例配置公共 IP 访问权限。

constraints/sql.restrictPublicIp 		"is:"
Compute Engine 禁止使用所有 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新使用 IPv6 所涉及的任何 Google Compute Engine 资源。
默认情况下，具有适当 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新涉及到 IPv6 使用的 Google Compute Engine 资源。
如果设置了此限制条件，则它的优先级将高于其他 IPv6 组织限制条件（包括 disableVpcInternalIpv6、disableVpcExternalIpv6 和 disableHybridCloudIpv6）。
constraints/compute.disableAllIpv6 		"is:"
Compute Engine 禁止创建 Cloud Armor 安全政策 强制执行此布尔值限制条件时，系统会禁止创建 Cloud Armor 安全政策。
默认情况下，您可以在任何组织、文件夹或项目中创建 Cloud Armor 安全政策。
constraints/compute.disableGlobalCloudArmorPolicy 		"is:"
Compute Engine 停用全球负载均衡 此布尔值限制条件禁止创建全球负载均衡产品。强制执行时，您只能创建没有全球依赖项的区域级负载均衡产品。默认情况下，允许创建全球负载均衡。
constraints/compute.disableGlobalLoadBalancing 		"is:"
Compute Engine 禁止创建自行管理的全球 SSL 证书 强制执行此布尔值限制条件时，系统会禁止创建自行管理的全球 SSL 证书。此限制条件不会禁止创建 Google 代管的证书或自行管理的区域级证书。
默认情况下，您可以在任何组织、文件夹或项目中创建自行管理的全球 SSL 证书。
constraints/compute.disableGlobalSelfManagedSslCertificate 		"is:"
Compute Engine 停用 Compute Engine 元数据的客机特性 设为 True 时，此布尔值限制条件会禁止通过 Compute Engine API 访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机的客机特性。
默认情况下，系统允许使用 Compute Engine API 访问 Compute Engine 虚拟机的客机特性。

constraints/compute.disableGuestAttributesAccess 		"is:"
Compute Engine 禁止使用混合云 IPv6 此布尔值限制条件设为 True 时，系统会禁止创建或更新 stack_type 为 IPV4_IPV6 的混合云资源，包括 Cloud Router、Cloud Interconnect 连接和 Cloud VPN。
默认情况下，具有适当 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新混合云资源（其中 stack_type 为 IPV4_IPV6）。
constraints/compute.disableHybridCloudIpv6 		"is:"
Compute Engine 停用互联网网络端点组 此布尔值限制条件限制用户是否可以创建 type 为 INTERNET_FQDN_PORT 和 INTERNET_IP_PORT 的互联网网络端点组 (NEG)。
默认情况下，具有相应 IAM 权限的任何用户都可以在任何项目中创建互联网 NEG。
constraints/compute.disableInternetNetworkEndpointGroup 		"is:"
Compute Engine 停用虚拟机嵌套虚拟化 设置为 True 时，此布尔值限制条件会对属于相应组织、项目或文件夹的所有 Compute Engine 虚拟机停用硬件加速的嵌套虚拟化功能。
默认情况下，在 Intel Haswell 或更新的 CPU 平台上运行的所有 Compute Engine 虚拟机都可以使用硬件加速的嵌套虚拟化功能。

constraints/compute.disableNestedVirtualization 		"is:"
Compute Engine 为使用方停用 Private Service Connect 此列表限制条件定义了用户无法为其创建转发规则的一组 Private Service Connect 端点类型。当强制执行此限制条件时，系统将阻止用户为 Private Service Connect 端点类型创建转发规则。此限制条件不会追溯强制执行。
默认情况下，您可以为任何 Private Service Connect 端点类型创建转发规则。
Private Service Connect 端点的允许/拒绝列表必须来自以下列表：
  • GOOGLE_APIS
  • SERVICE_PRODUCERS
在允许/拒绝列表中使用 GOOGLE_APIS 会限制创建用于访问 Google API 的 Private Service Connect 转发规则。在允许/拒绝列表中使用 SERVICE_PRODUCERS 会限制创建用于访问另一个 VPC 网络中的服务的 Private Service Connect 转发规则。
constraints/compute.disablePrivateServiceConnectCreationForConsumers 		"is:"
Compute Engine 禁止访问虚拟机串行端口 设置为 True 时，此布尔值限制条件会禁止通过串行端口访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机。
默认情况下，客户可以使用元数据特性针对单个虚拟机或项目进行 Compute Engine 虚拟机串行端口访问。无论元数据属性如何，强制执行此限制条件会停用 Compute Engine 虚拟机串行端口访问。

constraints/compute.disableSerialPortAccess 		"is:"
Compute Engine 禁止虚拟机串行端口输出记录到 Stackdriver 此布尔值限制条件会禁止串行端口从属于实施了此限制条件的组织、项目或文件夹的 Compute Engine 虚拟机输出记录到 Stackdriver。
默认情况下，Compute Engine 虚拟机的串行端口输出日志记录功能处于停用状态，您可以使用元数据特性针对单个虚拟机或项目有选择地启用此功能。实施这项限制条件时，系统会为新创建的 Compute Engine 虚拟机停用串行端口输出日志记录功能，并禁止用户将任何虚拟机（无论新旧）的元数据特性更改为 True。停用串行端口输出日志记录功能可能会导致依赖于它的某些服务（如 GKE Autopilot）无法正常运行。在强制执行此限制条件之前，请验证项目中的产品是否不依赖于串行端口日志记录功能。
constraints/compute.disableSerialPortLogging 		"is:"
Compute Engine 禁止使用 VPC 外部的 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 EXTERNAL 的子网。
默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。
constraints/compute.disableVpcExternalIpv6 		"is:"
Compute Engine 禁止使用 VPC 内部的 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 INTERNAL 的子网。
默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。
constraints/compute.disableVpcInternalIpv6 		"is:"
Compute Engine 要求登录 OS 设为 true 时，此布尔值限制条件会为所有新创建的项目启用 OS Login。在新项目中创建的所有虚拟机实例都将启用 OS Login。如果在新项目和现有的项目中设置此限制，将无法进行会在项目或实例级停用 OS Login 的元数据更新。
默认情况下，OS Login 功能在 Compute Engine 项目中处于停用状态。
运行节点池 1.20.5-gke.2000 及更高版本的专用集群中的 GKE 实例支持 OS Login。公共集群中的 GKE 实例目前不支持 OS Login。如果对某个运行公共集群的项目应用此限制条件，则该项目中运行的 GKE 实例可能无法正常运行。
constraints/compute.requireOsLogin 		"is:"
Compute Engine 安全强化型虚拟机 如果此布尔值限制条件设为 True，则所有新 Compute Engine 虚拟机实例都必须使用启用了安全启动、vTPM 和完整性监控选项的安全强化型磁盘映像。如果需要，您可以在创建实例后停用安全启动。运行中的现有实例会继续正常运行。
默认情况下，无需启用安全强化型虚拟机功能即可创建 Compute Engine 虚拟机实例。安全强化型虚拟机功能可为您的虚拟机添加可验证的完整性和抗渗漏性。
constraints/compute.requireShieldedVm 		"is:"
Compute Engine 必须提供 VPC 流日志的预定义政策 此列表限制条件定义了可以针对 VPC 流日志强制执行的一组预定义政策。
默认情况下，可以使用每个子网中的任何设置来配置 VPC 流日志。
此限制条件可为范围内符合最低采样率要求的所有子网强制启用流日志。
请指定以下一个或多个有效值：
  • ESSENTIAL（允许值 >= 0.1 且 < 0.5）
  • LIGHT（允许值 >= 0.5 和 < 1.0）
  • COMPREHENSIVE（允许值 == 1.0）

constraints/compute.requireVpcFlowLogs 		"is:"
Compute Engine 限制 Cloud NAT 用量 此列表限制条件定义了一组可以使用 Cloud NAT 的子网。默认情况下，所有子网都可以使用 Cloud NAT。允许/拒绝的子网列表必须采用以下格式表示：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME。
constraints/compute.restrictCloudNATUsage 		"is:"，"under:"
Compute Engine 限制专用互连用量 此列表限制条件定义了一组可以使用专用互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictDedicatedInterconnectUsage 		"is:"，"under:"
Compute Engine 根据负载平衡器类型限制负载平衡器的创建 此列表限制条件定义了可以为组织、文件夹或项目创建的负载平衡器类型。必须明确列出各个要允许或拒绝的负载均衡器类型。默认情况下，允许创建所有类型的负载平衡器。
允许或拒绝值列表必须使用负载平衡器的字符串名称进行标识，并且只能包含下方列表中的值：
  • INTERNAL_TCP_UDP
  • INTERNAL_HTTP_HTTPS
  • EXTERNAL_NETWORK_TCP_UDP
  • EXTERNAL_TCP_PROXY
  • EXTERNAL_SSL_PROXY
  • EXTERNAL_HTTP_HTTPS
  • EXTERNAL_MANAGED_HTTP_HTTPS
  • REGIONAL_INTERNAL_MANAGED_TCP_PROXY
  • GLOBAL_EXTERNAL_MANAGED_HTTP_HTTPS

要包含所有内部或所有外部负载均衡器类型，请使用 in: 前缀，后跟 NTERNAL 或 EXTERNAL。例如，通过允许 in:INTERNAL 将允许上述列表中包含 INTERNAL 的所有负载平衡器类型。
constraints/compute.restrictLoadBalancerCreationForTypes 		"is:"，"in:"
Compute Engine 限制非机密计算 此列表限制条件的拒绝名单定义了一组要求在创建所有新资源时都启用机密计算的服务。默认情况下，新资源不需要使用机密计算。在强制执行此列表限制条件期间，该资源的整个生命周期内都必须使用机密计算。现有资源会继续照常运行。拒绝的服务名单必须使用 API 的字符串名称进行标识，并且只能包含下方列表中明确拒绝的值。系统目前不支持明确允许 API。明确拒绝不在此列表中的 API 将导致出错。支持的 API 列表：[compute.googleapis.com, container.googleapis.com]
constraints/compute.restrictNonConfidentialComputing		 "is:"
Compute Engine 限制合作伙伴互连用量 此列表限制条件定义了一组可以使用合作伙伴互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictPartnerInterconnectUsage 		"is:"，"under:"
Compute Engine 根据 IP 地址类型限制协议转发 此列表限制条件定义了用户可以创建的带有目标实例的协议转发规则对象类型。实施此限制条件后，根据指定的类型，带有目标实例的新转发规则对象将仅限于内部和/或外部 IP 地址。必须明确列出要允许或拒绝的类型。默认情况下，允许创建带有目标实例的内部和外部协议转发规则对象。
允许或拒绝值列表只能包含下方列表中的值：
  • INTERNAL
  • EXTERNAL
。
constraints/compute.restrictProtocolForwardingCreationForTypes 		"is:"
Compute Engine 限制共享 VPC 宿主项目 此列表限制条件定义了一组共享 VPC 宿主项目，此资源中或其子资源中的项目可以附加到这组共享项目。默认情况下，一个项目可以附加到同一组织中的任何宿主项目，从而成为服务项目。允许/拒绝列表中的项目、文件夹和组织会影响资源层次结构中位于其自身下方的所有对象，并且必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID。
constraints/compute.restrictSharedVpcHostProjects 		"is:"，"under:"
Compute Engine 限制共享 VPC 子网 此列表限制条件定义了符合条件的资源可以使用的一组共享 VPC 子网络。此限制条件不适用于同一项目中的资源。默认情况下，符合条件的资源可以使用任何共享 VPC 子网络。子网的允许/拒绝列表必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME。
constraints/compute.restrictSharedVpcSubnetworks 		"is:"，"under:"
Compute Engine 限制 VPC 对等互连用量 此列表限制条件定义了可与属于此项目、文件夹或组织的 VPC 网络建立对等互连的一组 VPC 网络。默认情况下，一个网络的 Network Admin 可与其他任何网络建立对等互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictVpcPeering 		"is:"，"under:"
Compute Engine 限制 VPN 对等 IP 此列表限制条件定义了可配置为 VPN 对等 IP 的一组有效 IP-v4 地址。默认情况下，任何 IP 都可以是 VPC 网络的 VPN 对等 IP。IP 地址的允许/拒绝列表必须指定为以下格式的有效 IP-v4 地址：IP_V4_ADDRESS。
constraints/compute.restrictVpnPeerIPs 		"is:"
Compute Engine 将新项目的内部 DNS 设置设为“仅限区域 DNS” 如果设置为“True”，新创建的项目将默认使用区域 DNS。默认情况下，此限制条件设置为“False”，新创建的项目将使用默认 DNS 类型。
constraints/compute.setNewProjectDefaultToZonalDNSOnly 		"is:"
Compute Engine 共享预留所有者项目 此列表限制条件定义了一组可在组织中创建和拥有共享预留的项目。共享预留与本地预留类似，只不过它们并非只能由所有者项目使用，还可供资源层次结构中的其他 Compute Engine 项目使用。允许访问共享预留的项目列表必须采用以下格式：projects/PROJECT_NUMBER 或 under:projects/PROJECT_NUMBER。
constraints/compute.sharedReservationsOwnerProjects 		"is:"，"under:"
Compute Engine 跳过默认网络创建 设置为 True 时，此布尔值限制条件会在 Google Cloud Platform 项目资源创建期间跳过默认网络和相关资源的创建作业。默认情况下，系统会在创建项目资源时自动创建默认网络和支持资源。

constraints/compute.skipDefaultNetworkCreation 		"is:"
Compute Engine 计算存储资源使用限制（Compute Engine 磁盘、映像和快照） 此列表限制条件定义了一组可以使用 Compute Engine 存储资源的项目。默认情况下，具有相应 Cloud IAM 权限的任何人都可以访问 Compute Engine 资源。使用此限制条件时，用户必须具备 Cloud IAM 权限，且不能被限制条件限制访问资源。
允许或拒绝列表中指定的项目、文件夹和组织必须分别采用以下格式：under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID。

constraints/compute.storageResourceUseRestrictions 		"is:"，"under:"
Compute Engine 定义可信映像项目 此列表限制条件定义了一组可用于针对 Compute Engine 进行映像存储和磁盘实例化的项目。
默认情况下，可以基于向该用户公开或明确共享映像的任何项目中的映像创建实例。
发布商项目的允许/拒绝列表必须是采用以下格式的字符串：projects/PROJECT_ID。如果此限制条件已启用，那么只有可信项目中的映像可用作新实例启动磁盘的来源。

constraints/compute.trustedImageProjects 		"is:"
Compute Engine 限制虚拟机 IP 转发 此列表限制条件定义了可启用 IP 转发功能的一组虚拟机实例。默认情况下，任何虚拟机都可以在任何虚拟网络中启用 IP 转发功能。虚拟机实例必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME。此限制条件不具有可追溯性。
constraints/compute.vmCanIpForward 		"is:"，"under:"
Compute Engine 为虚拟机实例定义允许的外部 IP 此列表限制条件定义了一组可以使用外部 IP 地址的 Compute Engine 虚拟机实例。
默认情况下，所有虚拟机实例都可以使用外部 IP 地址。
虚拟机实例的允许/拒绝列表必须由虚拟机实例名称标识，格式为：projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

constraints/compute.vmExternalIpAccess		 "is:"
Compute Engine 禁止在全局资源上启用 Identity-Aware Proxy (IAP) 强制执行此布尔值限制条件时，系统会禁止在全球性资源上启用 Identity-Aware Proxy。在区域级资源上启用 IAP 不受此限制条件的限制。
默认情况下，允许在全球资源上启用 IAP。
constraints/iap.requireGlobalIapWebDisabled 		"is:"
Datastream Datastream - 禁止使用公共连接方法 默认情况下，可以使用公共或专用连接方法创建 Datastream 连接配置文件。如果强制执行了此组织政策的布尔值限制，则只能使用专用连接方法（例如 VPC 对等互连）创建连接配置文件。
constraints/datastream.disablePublicConnectivity 		"is:"
重要联系人 网域限定联系人 此列表限制条件指定了添加到重要联系人中的电子邮件地址可以拥有的一组网域。
默认情况下，任何网域中的电子邮件地址都可以添加到重要联系人中。
允许/拒绝列表必须指定一个或多个 @example.com 形式的网域。如果此限制条件已启用并配置了允许的值，只有后缀与域名许可名单中的某个条目匹配的电子邮件地址才可以添加到重要联系人中。
此限制条件不会影响现有联系人的更新或移除。
constraints/essentialcontacts.allowedContactDomains 		"is:"
Firestore 需要 Firestore Service Agent 才能导入/导出 强制执行布尔值限制条件时，系统会要求 Firestore 导入和导出使用 Firestore Service Agent。
默认情况下，Firestore 导入和导出可以使用 App Engine 服务帐号。
Firestore 将来会停止使用 App Engine 服务帐号来执行导入和导出，并且所有帐号都需要迁移到 Firestore Service Agent，此后将不再需要此限制条件。

constraints/firestore.requireP4SAforImportExport 		"is:"
Cloud Healthcare 为 Cloud Healthcare API 停用 Cloud Logging 强制执行此布尔值限制条件时，系统会针对 Cloud Healthcare API 停用 Cloud Logging。
审核日志不受此限制条件影响。
在实施此限制条件之前为 Cloud Healthcare API 生成的 Cloud 日志不会被删除，并且仍然可以访问。

constraints/gcp.disableCloudLogging 		"is:"
Identity and Access Management 允许将 OAuth 2.0 访问令牌的生命周期延长至最多 12 小时 此列表限制条件定义了一组可以授予生命周期长达 12 小时的 OAuth 2.0 访问令牌的服务帐号。默认情况下，这些访问令牌的最长生命周期为 1 小时。
服务帐号的允许/拒绝列表必须指定一个或多个服务帐号电子邮件地址。
constraints/iam.allowServiceAccountCredentialLifetimeExtension 		"is:"
Identity and Access Management 网域限定共享 此列表限制条件定义了可将其主帐号添加至 IAM 政策中的一个或多个 Cloud Identity 或 Google Workspace 客户 ID。
默认情况下，所有用户身份都可以添加至 IAM 政策。
如果此限制条件已启用，则只有属于允许的客户 ID 的主帐号才能添加至 IAM 政策。
constraints/iam.allowedPolicyMemberDomains 		"is:"
Identity and Access Management 停用审核日志记录豁免 强制执行此布尔值限制条件时，系统会禁止您豁免对其他主帐号的审核日志记录。此限制条件不会影响强制执行该限制条件之前存在的任何审核日志记录豁免。
constraints/iam.disableAuditLoggingExemption 		"is:"
Identity and Access Management 停用跨项目服务帐号使用情况 当强制执行时，服务帐号只能使用 ServiceAccountUser 角色部署到服务帐号所在项目中运行的作业（虚拟机、函数等）。
constraints/iam.disableCrossProjectServiceAccountUsage 		"is:"
Identity and Access Management 禁止创建服务帐号 设置为“True”时，此布尔值限制条件会禁止创建服务帐号。
默认情况下，用户可以根据其 Cloud IAM 角色和权限创建服务帐号。

constraints/iam.disableServiceAccountCreation 		"is:"
Identity and Access Management 禁止创建服务帐号密钥 设置为“True”时，此布尔值限制条件会禁止创建服务帐号外部密钥。
默认情况下，用户可以根据其 Cloud IAM 角色和权限创建服务帐号外部密钥。

constraints/iam.disableServiceAccountKeyCreation 		"is:"
Identity and Access Management 停用服务帐号密钥上传功能 设置为“True”时，此布尔值限制条件会停用允许向服务帐号上传公钥的功能。
默认情况下，用户可以根据其 Cloud IAM 角色和权限向服务帐号上传公钥。
constraints/iam.disableServiceAccountKeyUpload 		"is:"
Identity and Access Management 停用 Workload Identity 集群创建 设置为“True”时，此布尔值限制条件会要求所有新的 GKE 集群在创建时停用 Workload Identity。已启用 Workload Identity 的现有 GKE 集群会继续正常运行。默认情况下，可以为任何 GKE 集群启用 Workload Identity。
constraints/iam.disableWorkloadIdentityClusterCreation 		"is:"
Identity and Access Management 可在 Cloud IAM 中为工作负载身份联合配置的允许的 AWS 帐号 可在 Cloud IAM 中为工作负载身份联合配置的 AWS 帐号 ID 列表。
constraints/iam.workloadIdentityPoolAwsAccounts 		"is:"
Identity and Access Management 为处理工作负载而允许 Cloud IAM 联系的外部身份提供商 可以进行配置以在 Cloud IAM 内进行工作负载身份验证的身份提供商（通过 URI/网址指定）。
constraints/iam.workloadIdentityPoolProviders		 "is:"
Anthos Service Mesh 代管式控制平面。 适用于 Anthos Service Mesh 代管式控制平面的 VPC Service Controls 模式 此限制条件确定在预配新的 Anthos Service Mesh 代管式控制平面时可以设置哪些 VPC Service Controls 模式。有效值为“NONE”和“COMPATIBLE”。
constraints/meshconfig.allowedVpcscModes 		"is:"
Resource Manager 限制共享 VPC 项目安全锁移除 设置为 True 时，此布尔值限制条件会限制可以移除没有组织级权限的共享 VPC 宿主项目安全锁的一组用户。
默认情况下，任何拥有安全锁更新权限的用户都可以移除共享 VPC 宿主项目安全锁。强制执行此限制条件需要在组织级别授予权限。
constraints/compute.restrictXpnProjectLienRemoval 		"is:"
Resource Manager 限制移除跨项目服务帐号安全锁 当强制执行此布尔值限制条件时，系统可防止用户在没有组织级别权限的情况下移除跨项目服务帐号安全锁。默认情况下，任何具有安全锁更新权限的用户都可以移除跨项目服务帐号安全锁。强制执行此限制条件需要在组织级别授予该权限。
constraints/iam.restrictCrossProjectServiceAccountLienRemoval 		"is:"
Resource Manager 限制资源查询的公开范围 针对某个组织资源强制执行此列表限制条件后，系统会为执行此限制条件的组织的网域用户指定返回到列表的一组 Google Cloud 资源和搜索方法。这可用于限制在 Cloud Console 的各个部分（例如资源选择器、搜索和管理资源页面）中显示的资源。请注意，此限制条件仅在组织级别进行评估。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。
constraints/resourcemanager.accessBoundaries 		"is:"，"under:"
Resource Manager 跨组织移动时需要启用的服务许可清单 此列表限制条件的作用是检查启用了某项服务的项目是否可以进行跨组织移动。启用了某项受支持服务的资源必须强制执行此限制条件，并且必须在允许值中包含相应的受支持服务，才可进行跨组织移动。受支持服务当前的允许值列表如下：
  • SHARED_VPC

此限制条件在 constraints/resourcemanager.allowedExportDestinations 之上提供了额外一层控制。此 list_constraint 默认为空，且不会阻止跨组织移动，除非针对要导出的资源启用了某项受支持服务。在将资源移至另一个组织的过程中，此限制条件允许对那些使用需要更加谨慎的特征的资源进行更精细的控制。默认情况下，无法在组织间移动启用了某项受支持服务的资源。
constraints/resourcemanager.allowEnabledServicesForExport 		"is:"
Resource Manager 允许的资源导出目的地 此列表限制条件指定了一组可将资源移至其中的外部组织，并拒绝所有将资源移至其他所有组织的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，相应资源只能移至此限制条件明确允许的组织中。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。
constraints/resourcemanager.allowedExportDestinations 		"is:"，"under:"
Resource Manager 允许的资源导入来源 此列表限制条件指定了一组可作为资源导入来源的外部组织，并拒绝所有从其他所有组织导入资源的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，此限制条件必须明确允许在此资源下直接导入的资源。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。
constraints/resourcemanager.allowedImportSources 		"is:"，"under:"
Cloud Run 允许的 Binary Authorization 政策 (Cloud Run) 此列表限制条件定义了一组可以针对 Cloud Run 资源指定的 Binary Authorization 政策名称。若要允许/禁止设置默认政策，请使用值“default”。如需允许/禁止一项或多项自定义平台政策，您必须单独添加各项此类政策的资源 ID。
constraints/run.allowedBinaryAuthorizationPolicies 		"is:"
Cloud Run 允许的入站流量设置 (Cloud Run) 此列表限制条件定义了 Cloud Run 服务可以使用的入站流量设置。如果实施了此限制条件，服务必须具有与某个允许的值匹配的入站流量设置。入站流量设置违反此限制条件的现有 Cloud Run 服务可以继续更新，直到相应服务的入站流量设置更改为符合此限制条件为止。服务一旦符合此限制条件，就只能使用此限制条件允许的入站流量设置。
默认情况下，Cloud Run 服务可以使用任何入站流量设置。
允许的列表必须包含支持的入站流量设置值，包括 all、internal 和 internal-and-cloud-load-balancing。

constraints/run.allowedIngress 		"is:"
Cloud Run 允许的 VPC 出站流量设置 (Cloud Run) 此列表限制条件定义了 Cloud Run 服务的修订版本可以使用的 VPC 出站流量设置。如果实施了此限制条件，服务的修订版本必须使用无服务器 VPC 访问通道连接器，并且相应修订版本的 VPC 出站流量设置必须与某个允许的值匹配。
对于现有服务，所有新部署的修订版本都必须遵守此限制条件。如果现有服务用于处理流量的修订版本违反此限制条件，仍可以继续将流量迁移到违反此限制条件的修订版本。在服务的所有流量都由符合此限制条件的修订版本处理后，所有后续流量迁移都只能将流量迁移到符合此限制条件的修订版本。
默认情况下，Cloud Run 修订版本可以将 VPC 出站流量设置设为任何支持的值。
允许列表必须包含支持的 VPC 出站流量设置值，包括 private-ranges-only 和 all-traffic。

constraints/run.allowedVPCEgress 		"is:"
服务使用者管理 停用默认服务帐号的自动 IAM 授权 强制执行此布尔值限制条件后，当创建帐号时，在项目中创建的默认 App Engine 和 Compute Engine 服务帐号将无法自动获得项目的任何 IAM 角色。
默认情况下，这些服务帐号在创建后会自动获得 Editor 角色。
constraints/iam.automaticIamGrantsForDefaultServiceAccounts 		"is:"
Cloud Storage Google Cloud Platform - 详细的审核日志记录模式 强制执行详细的审核日志模式时，请求和响应都会包含在 Cloud Audit Logs 中。对此功能进行的更改最多可能需要 10 分钟才会生效。在寻求满足 SEC 规则 17a-4(f)、CFTC 规则 1.31(c)-(d) 和 FINRA 规则 4511(c) 等合规性要求时，强烈建议将此组织政策与存储桶锁定搭配使用。目前，只有 Cloud Storage 支持此政策。
constraints/gcp.detailedAuditLoggingMode 		"is:"
Cloud Storage 强制执行禁止公开访问设置 通过强制执行阻止公开访问的措施，让您的 Cloud Storage 数据免遭公开泄露。此治理政策通过停用和阻止向 allUsers 和 allAuthenticatedUsers 授予访问权限的 ACL 和 IAM 权限，防止通过公共互联网访问现有和未来的资源。对整个组织（推荐）、特定项目或特定文件夹强制执行此政策，以确保数据不会公开泄露。
此政策会覆盖现有的公共权限。启用此政策后，系统将撤消现有存储桶和对象的公开访问权限。
constraints/storage.publicAccessPrevention 		"is:"
Cloud Storage Cloud Storage - 限制身份验证类型 此限制条件定义了一组将无法访问 Cloud Storage 中组织下的任何存储资源的身份验证类型。支持的值为 USER_ACCOUNT_HMAC_SIGNED_REQUESTS 和 SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS。使用 in:ALL_HMAC_SIGNED_REQUESTS 添加两者。
constraints/storage.restrictAuthTypes 		"is:"，"in:"
Cloud Storage 保留政策时长（以秒为单位） 此列表限制条件定义了可针对 Cloud Storage 存储分区设置的一组保留政策时长。
默认情况下，如果未指定任何组织政策，Cloud Storage 存储分区的保留政策将没有任何时长限制。
允许的时长列表必须指定为大于零的正整数值，并以秒作为保留政策时长的时间单位。
对组织资源中的存储分区执行的任何插入、更新或修补操作都必须具有与此限制条件一致的保留政策时长。
实施此限制条件不会影响先前的操作。也就是说，在应用新的组织政策后，现有存储桶的保留政策将保持不变并继续有效。

constraints/storage.retentionPolicySeconds 		"is:"
Cloud Storage 实施统一存储分区级访问权限 此布尔值限制条件设置为 True 时，存储分区必须使用统一的存储分区级访问权限。组织资源中的所有新存储分区都必须启用统一的存储分区级访问权限，并且组织资源中的任何存储分区都不得停用统一的存储分区级访问权限。
实施此限制条件不会影响先前的操作；也就是说，已停用统一的存储分区级访问权限的现有存储分区将继续停用该权限。此限制条件的默认值为 False。
统一的存储分区级访问权限会禁止评估分配给该存储分区中的 Cloud Storage 对象的 ACL。因此，只有 IAM 政策会授予对这些存储分区中对象的访问权限。

constraints/storage.uniformBucketLevelAccess 		"is:"

方法指南

如需详细了解如何使用各个限制条件：

限制条件 方法指南
constraints/cloudbuild.allowedIntegrations 限制通过外部服务触发的 build
constraints/cloudfunctions.allowedIngressSettings 使用 VPC Service Controls
constraints/cloudfunctions.allowedVpcConnectorEgressSettings 使用 VPC Service Controls
constraints/cloudfunctions.requireVPCConnector 使用 VPC Service Controls
constraints/gcp.restrictNonCmekServices CMEK 组织政策
constraints/gcp.restrictCmekCryptoKeyProjects CMEK 组织政策
constraints/compute.restrictCloudNATUsage 限制 Cloud NAT 用量
constraints/compute.restrictLoadBalancerCreationForTypes Cloud Load Balancing 限制条件
constraints/compute.restrictProtocolForwardingCreationForTypes 协议转发限制条件
constraints/compute.restrictDedicatedInterconnectUsage
constraints/compute.restrictPartnerInterconnectUsage		 限制 Cloud Interconnect 用量
constraints/compute.restrictVpnPeerIPs 通过 Cloud VPN 隧道限制对等 IP 地址
constraints/compute.trustedImageProjects 限制对映像的访问
constraints/compute.vmExternalIpAccess 停用虚拟机的外部 IP 访问权限
constraints/compute.requireVpcFlowLogs VPC 流日志的组织政策限制条件
constraints/gcp.restrictServiceUsage 限制资源用量
constraints/iam.allowedPolicyMemberDomains 按网域限制身份
constraints/iam.allowServiceAccountCredentialLifetimeExtension 延长 OAuth 2.0 访问令牌的生命周期
constraints/iam.disableCrossProjectServiceAccountUsage 将服务帐号附加到其他项目中的资源
constraints/iam.disableServiceAccountCreation 限制服务帐号的创建
constraints/iam.disableServiceAccountKeyCreation 限制服务帐号密钥的创建
constraints/iam.disableServiceAccountKeyUpload 限制服务帐号密钥上传功能
constraints/iam.disableWorkloadIdentityClusterCreation 限制工作负载身份集群创建功能
constraints/iam.restrictCrossProjectServiceAccountLienRemoval 将服务帐号附加到其他项目中的资源
constraints/gcp.detailedAuditLoggingMode
constraints/storage.retentionPolicySeconds
constraints/storage.uniformBucketLevelAccess
constraints/storage.publicAccessPrevention		 Cloud Storage 的组织政策限制
constraints/gcp.disableCloudLogging 停用 Cloud Logging
constraints/gcp.resourceLocations 限制资源位置
constraints/compute.restrictCloudNATUsage Cloud NAT 的组织政策限制
constraints/resourcemanager.accessBoundaries 限制用户可以看到的项目
constraints/run.allowedIngress 使用 VPC Service Controls
constraints/run.allowedVPCEgress 使用 VPC Service Controls

了解详情

如需详细了解组织政策的核心概念：