组织政策限制条件

可用限制条件

您可以指定使用以下限制条件的政策。

多个 Google Cloud 服务支持的限制条件

限制条件 说明 支持的前缀
Google Cloud Platform - 资源位置限制 此列表限制条件定义了可以创建基于位置的 GCP 资源的一组位置。
默认情况下，可以在任何位置创建资源。
针对此限制条件的政策可以将多地区（例如 asia 和 europe）和单地区（例如 us-east1 或 europe-west1）指定为允许或拒绝的位置。允许或拒绝多地区并不表示也应该允许或拒绝其中包含的所有更具体的位置。例如，如果政策拒绝 us 多区域（表示多区域资源，例如某些存储服务），您仍然可以在区域位置 us-east1 中创建资源。另一方面，in:us-locations 组包含 us 区域内的所有位置，并且可用于阻止每个区域。
建议使用值组来定义政策。
您可以指定值组（即由 Google 精心挑选的一组位置），以便更方便地定义您的资源位置。如需在组织政策中使用值组，请为您的条目前添加 in: 字符串作为前缀，后跟值组。
例如，如需创建仅位于美国的资源，请在允许值列表中设置 in:us-locations。
如果在位置政策中使用了 suggested_value 字段，则该字段应为区域。如果指定的值为地区，则区域资源的界面可以预填充该地区中的任何区域。
constraints/gcp.resourceLocations 		"is:"、"in:"
限制允许的 Google Cloud API 和服务 此列表限制条件限制了可以针对此资源启用的一组服务及其 API。默认情况下，允许启用所有服务。
遭拒的服务的列表必须来自以下列表。目前不支持通过此限制条件明确启用 API。如果指定的 API 不在此列表中，则会导致错误。
实施此限制条件不会影响先前的操作。也就是说，在实施此限制条件后，资源中之前启用的服务仍会保持启用状态。

constraints/serviceuser.services 		"is:"

特定服务的限制条件

服务 限制条件 说明 支持的前缀
App Engine 停用源代码下载功能 停用之前上传到 App Engine 的源代码的下载。
constraints/appengine.disableCodeDownload 		"is:"
Cloud Build 允许的工作器池 (Cloud Build) 此列表限制条件定义允许的 Cloud Build 工作器池以使用 Cloud Build 执行构建。当强制执行此限制条件时，构建必须在与其中一个允许的值匹配的工作器池中进行。
默认情况下，Cloud Build 可以使用任何工作器池。
允许的工作器池列表必须采用以下格式：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID。

constraints/cloudbuild.allowedWorkerPools 		"is:"、"under:"
Cloud Functions 允许的工作器池 (Cloud Build) 此列表限制条件定义允许的 Cloud Build 工作器池以使用 Cloud Build 执行构建。当强制执行此限制条件时，构建必须在与其中一个允许的值匹配的工作器池中进行。
默认情况下，Cloud Build 可以使用任何工作器池。
允许的工作器池列表必须采用以下格式：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID。

constraints/cloudbuild.allowedWorkerPools 		"is:"、"under:"
Cloud Functions 允许使用的入站流量设置 (Cloud Functions) 此列表限制条件指定了 Cloud Functions 函数部署可使用的入站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的入站流量设置。
默认情况下，Cloud Functions 函数可以使用任意入站流量设置。
入站流量设置必须使用 IngressSettings 枚举的值在允许列表中指定。

constraints/cloudfunctions.allowedIngressSettings 		"is:"
Cloud Functions 允许使用的 VPC 连接器出站流量设置 (Cloud Functions) 此列表限制条件定义了部署 Cloud Functions 函数时允许使用的 VPC 连接器出站流量设置。当强制执行此限制条件时，函数需要具有与某个允许的值匹配的 VPC 连接器出站流量设置。
默认情况下，Cloud Functions 可以使用任何 VPC 连接器出站流量设置。
必须使用 VpcConnectorEgressSettings 枚举的值在允许列表中指定 VPC 连接器出站流量设置。

constraints/cloudfunctions.allowedVpcConnectorEgressSettings 		"is:"
Cloud Functions 要求使用 VPC 连接器 (Cloud Functions) 当您部署 Cloud Functions 函数时，此布尔值限制条件会强制设置 VPC 连接器。当强制执行此限制条件时，函数需要指定一个 VPC 连接器。
默认情况下，无需指定 VPC 连接器即可部署 Cloud Functions 函数。

constraints/cloudfunctions.requireVPCConnector 		"is:"
Cloud SQL 限制 Cloud SQL 实例使用默认的 Google 管理的加密功能 BETA 版：此布尔值限制条件设为 True 时，所有新创建、重启或更新的 Cloud SQL 实例都必须使用客户管理的加密密钥 (CMEK)。此限制条件不会影响先前的操作（这意味着使用 Google 管理的加密功能的现有实例不会受到影响，除非这些实例发生了更新或刷新）。
默认情况下，此限制条件设置为 False，即允许 Cloud SQL 实例使用 Google 管理的加密功能。

constraints/sql.disableDefaultEncryptionCreation 		"is:"
Cloud SQL 限制 Cloud SQL 实例的授权网络 设为 True 时，此布尔值限制条件会限制向 Cloud SQL 实例添加授权网络来进行无代理的数据库访问。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有授权网络的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许向 Cloud SQL 实例添加授权网络。

constraints/sql.restrictAuthorizedNetworks 		"is:"
Cloud SQL 限制 Cloud SQL 实例的公共 IP 访问权限 设置为 True 时，该布尔值限制条件会限制在 Cloud SQL 实例上配置公共 IP 地址。此限制条件不会影响先前的操作；也就是说，即使在实施此限制条件之后，已有公共 IP 访问权限的 Cloud SQL 实例也仍然照常运作。
默认情况下，系统允许为 Cloud SQL 实例配置公共 IP 访问权限。

constraints/sql.restrictPublicIp 		"is:"
Compute Engine 禁止使用所有 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新使用 IPv6 所涉及的任何 Google Compute Engine 资源。
默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新使用 IPv6 的 Google Compute Engine 资源。
如果设置了此限制条件，则它的优先级将高于其他 IPv6 组织限制条件（包括 disableVpcInternalIpv6、disableVpcExternalIpv6 和 disableHybridCloudIpv6）。
constraints/compute.disableAllIpv6 		"is:"
Compute Engine 停用 Compute Engine 元数据的客机特性 设为 True 时，此布尔值限制条件会禁止通过 Compute Engine API 访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机的客机特性。
默认情况下，系统允许使用 Compute Engine API 访问 Compute Engine 虚拟机的客机特性。

constraints/compute.disableGuestAttributesAccess 		"is:"
Compute Engine 停用互联网网络端点组 此布尔值限制条件限定用户能否创建类型 (type) 为 INTERNET_FQDN_PORT 和 INTERNET_IP_PORT 的互联网网络端点组 (NEG)。
默认情况下，具有相应 IAM 权限的任何用户都可以在任何项目中创建互联网 NEG。
constraints/compute.disableInternetNetworkEndpointGroup		 "is:"
Compute Engine 停用虚拟机嵌套虚拟化 设置为 True 时，此布尔值限制条件会对属于相应组织、项目或文件夹的所有 Compute Engine 虚拟机停用硬件加速的嵌套虚拟化功能。
默认情况下，在 Intel Haswell 或更新的 CPU 平台上运行的所有 Compute Engine 虚拟机都可以使用硬件加速的嵌套虚拟化功能。

constraints/compute.disableNestedVirtualization 		"is:"
Compute Engine 为使用方停用 Private Service Connect 此列表限制条件定义了用户无法为其创建转发规则的一组 Private Service Connect 端点类型。当强制执行此限制条件时，系统将阻止用户为 Private Service Connect 端点类型创建转发规则。此限制条件不会追溯强制执行。
默认情况下，您可以为任何 Private Service Connect 端点类型创建转发规则。
Private Service Connect 端点的允许/拒绝列表必须来自以下列表：
  • GOOGLE_APIS
  • SERVICE_PRODUCERS
在允许/拒绝列表中使用 GOOGLE_APIS 会限制创建用于访问 Google API 的 Private Service Connect 转发规则。在允许/拒绝列表中使用 SERVICE_PRODUCERS 会限制创建用于访问另一个 VPC 网络中的服务的 Private Service Connect 转发规则。
constraints/compute.disablePrivateServiceConnectCreationForConsumers 		"is:"
Compute Engine 禁止访问虚拟机串行端口 设置为 True 时，此布尔值限制条件会禁止通过串行端口访问属于相应组织、项目或文件夹的 Compute Engine 虚拟机。
默认情况下，客户可以使用元数据特性针对单个虚拟机或项目进行 Compute Engine 虚拟机串行端口访问。无论元数据属性如何，强制执行此限制条件会停用 Compute Engine 虚拟机串行端口访问。

constraints/compute.disableSerialPortAccess 		"is:"
Compute Engine 禁止虚拟机串行端口输出记录到 Stackdriver 此布尔值限制条件会禁止串行端口从属于实施了此限制条件的组织、项目或文件夹的 Compute Engine 虚拟机输出记录到 Stackdriver。
默认情况下，Compute Engine 虚拟机的串行端口输出日志记录功能处于停用状态，您可以使用元数据特性针对单个虚拟机或项目有选择地启用此功能。实施这项限制条件时，系统会为新创建的 Compute Engine 虚拟机停用串行端口输出日志记录功能，并禁止用户将任何虚拟机（无论新旧）的元数据特性更改为 True。
constraints/compute.disableSerialPortLogging 		"is:"
Compute Engine 禁止使用 VPC 外部的 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 EXTERNAL 的子网。
默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。
constraints/compute.disableVpcExternalIpv6 		"is:"
Compute Engine 禁止使用 VPC 内部的 IPv6 此布尔值限制条件设为 True 时，将禁止创建或更新 stack_type 为 IPV4_IPV6 且 ipv6_access_type 为 INTERNAL 的子网。
默认情况下，拥有相应 Cloud IAM 权限的任何人都可以在任何项目、文件夹和组织中创建或更新 stack_type 为 IPV4_IPV6 的子网。
constraints/compute.disableVpcInternalIpv6 		"is:"
Compute Engine 要求使用 OS Login 设为 true 时，此布尔值限制条件会为所有新创建的项目启用 OS Login。在新项目中创建的所有虚拟机实例都将启用 OS Login。在新项目和现有的项目中，此限制条件可防止会在项目或实例级停用 OS Login 的元数据更新。
默认情况下，OS Login 功能在 Compute Engine 项目中处于停用状态。
GKE 实例目前不支持 OS Login。如果对某一项目应用此限制条件，则在该项目中运行的 GKE 实例可能无法正常运行。
constraints/compute.requireOsLogin 		"is:"
Compute Engine 安全强化型虚拟机 如果此布尔值限制条件设为 True，则所有新 Compute Engine 虚拟机实例都必须使用启用了安全启动、vTPM 和完整性监控选项的安全强化型磁盘映像。如果需要，您可以在创建实例后停用安全启动。运行中的现有实例会继续正常运行。
默认情况下，无需启用安全强化型虚拟机功能即可创建 Compute Engine 虚拟机实例。安全强化型虚拟机功能可为您的虚拟机添加可验证的完整性和抗渗漏性。
constraints/compute.requireShieldedVm 		"is:"
Compute Engine 限制 Cloud NAT 用量 此列表限制条件定义了可以使用 Cloud NAT 的一组子网。默认情况下，所有子网都可以使用 Cloud NAT。子网的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME。
constraints/compute.restrictCloudNATUsage 		"is:"、"under:"
Compute Engine 限制专用互连用量 此列表限制条件定义了一组可以使用专用互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictDedicatedInterconnectUsage 		"is:"、"under:"
Compute Engine 根据负载平衡器类型限制负载平衡器的创建 此列表限制条件定义了可以为组织、文件夹或项目创建的负载平衡器类型。必须明确列出各个要允许或拒绝的负载平衡器类型。默认情况下，允许创建所有类型的负载平衡器。
允许或拒绝值列表必须使用负载平衡器的字符串名称进行标识，并且只能包含下方列表中的值：
  • INTERNAL_TCP_UDP
  • INTERNAL_HTTP_HTTPS
  • EXTERNAL_NETWORK_TCP_UDP
  • EXTERNAL_TCP_PROXY
  • EXTERNAL_SSL_PROXY
  • EXTERNAL_HTTP_HTTPS

要包含所有内部或所有外部负载平衡器类型，请使用 in: 前缀，后跟 NTERNAL 或 EXTERNAL。例如，通过允许 in:INTERNAL 将允许上述列表中包含 INTERNAL 的所有负载平衡器类型。
constraints/compute.restrictLoadBalancerCreationForTypes 		"is:"、"in:"
Compute Engine 限制非机密计算 此列表限制条件的拒绝名单定义了一组要求在创建所有新资源时都启用机密计算的服务。默认情况下，新资源不需要使用机密计算。在强制执行此列表限制条件期间，该资源的整个生命周期内都必须使用机密计算。现有资源会继续照常运行。拒绝的服务名单必须使用 API 的字符串名称进行标识，并且只能包含下方列表中明确拒绝的值。系统目前不支持明确允许 API。明确拒绝不在此列表中的 API 将导致出错。支持的 API 列表：[compute.googleapis.com, container.googleapis.com]
constraints/compute.restrictNonConfidentialComputing		 "is:"
Compute Engine 限制合作伙伴互连用量 此列表限制条件定义了一组可以使用合作伙伴互连的 Compute Engine 网络。默认情况下，网络可以使用任何类型的互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictPartnerInterconnectUsage 		"is:"、"under:"
Compute Engine 根据 IP 地址类型限制协议转发 此列表限制条件定义了用户可以创建的带有目标实例的协议转发规则对象类型。实施此限制条件后，根据指定的类型，带有目标实例的新转发规则对象将仅限于内部和/或外部 IP 地址。必须明确列出要允许或拒绝的类型。默认情况下，允许创建带有目标实例的内部和外部协议转发规则对象。
允许或拒绝值列表只能包含下方列表中的值：
  • INTERNAL
  • EXTERNAL
。
constraints/compute.restrictProtocolForwardingCreationForTypes 		"is:"
Compute Engine 限制共享 VPC 宿主项目 此列表限制条件定义了一组共享 VPC 宿主项目，此资源中或其子资源中的项目可以附加到这组共享项目。默认情况下，一个项目可以附加到同一组织中的任何宿主项目，从而成为服务项目。允许/拒绝列表中的项目、文件夹和组织会影响资源层次结构中位于其自身下方的所有对象，并且必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID 或 projects/PROJECT_ID。
constraints/compute.restrictSharedVpcHostProjects 		"is:"、"under:"
Compute Engine 限制共享 VPC 子网 此列表限制条件定义了符合条件的资源可以使用的一组共享 VPC 子网络。此限制条件不适用于同一项目中的资源。默认情况下，符合条件的资源可以使用任何共享 VPC 子网络。子网的允许/拒绝列表必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK-NAME。
constraints/compute.restrictSharedVpcSubnetworks 		"is:"、"under:"
Compute Engine 限制 VPC 对等互连用量 此列表限制条件定义了可与属于此项目、文件夹或组织的 VPC 网络建立对等互连的一组 VPC 网络。默认情况下，一个网络的 Network Admin 可与其他任何网络建立对等互连。网络的允许/拒绝列表必须按以下格式标识：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/global/networks/NETWORK_NAME。
constraints/compute.restrictVpcPeering 		"is:"、"under:"
Compute Engine 限制 VPN 对等 IP 此列表限制条件定义了可配置为 VPN 对等 IP 的一组有效 IP-v4 地址。默认情况下，任何 IP 都可以是 VPC 网络的 VPN 对等 IP。IP 地址的允许/拒绝列表必须指定为以下格式的有效 IP-v4 地址：IP_V4_ADDRESS。
constraints/compute.restrictVpnPeerIPs 		"is:"
Compute Engine 将新项目的内部 DNS 设置设为“仅限区域 DNS” 如果设置为“True”，新创建的项目将默认使用区域 DNS。默认情况下，此限制条件设置为“False”，新创建的项目将使用默认 DNS 类型。
constraints/compute.setNewProjectDefaultToZonalDNSOnly 		"is:"
Compute Engine 共享预留所有者项目 此列表限制条件定义了一组可在组织中创建和拥有共享预留的项目。共享预留与本地预留类似，只不过它们并非只能由所有者项目使用，还可供资源层次结构中的其他计算引擎项目使用。允许访问共享预留的项目列表必须采用以下格式：projects/PROJECT_ID 或 under:projects/PROJECT_ID。目前，此限制条件仅在非公开预览版中提供。
constraints/compute.sharedReservationsOwnerProjects 		"is:"、"under:"
Compute Engine 跳过默认网络创建 设置为 True 时，此布尔值限制条件会在 Google Cloud Platform 项目资源创建期间跳过默认网络和相关资源的创建作业。默认情况下，系统会在创建项目资源时自动创建默认网络和支持资源。

constraints/compute.skipDefaultNetworkCreation 		"is:"
Compute Engine 计算存储资源使用限制（Compute Engine 磁盘、映像和快照） 此列表限制条件定义了一组可以使用 Compute Engine 存储资源的项目。默认情况下，具有相应 Cloud IAM 权限的任何人都可以访问 Compute Engine 资源。使用此限制条件时，用户必须具备 Cloud IAM 权限，且不能被限制条件限制访问资源。
允许或拒绝列表中指定的项目、文件夹和组织必须分别采用以下格式：under:projects/PROJECT_ID、under:folders/FOLDER_ID、under:organizations/ORGANIZATION_ID。

constraints/compute.storageResourceUseRestrictions 		"is:"、"under:"
Compute Engine 定义可信映像项目 此列表限制条件定义了一组可用于针对 Compute Engine 进行映像存储和磁盘实例化的项目。
默认情况下，可以基于向该用户公开或明确共享映像的任何项目中的映像创建实例。
发布商项目的允许/拒绝列表必须是采用以下格式的字符串：projects/PROJECT_ID。如果此限制条件已启用，那么只有可信项目中的映像可用作新实例启动磁盘的来源。

constraints/compute.trustedImageProjects 		"is:"
Compute Engine 限制虚拟机 IP 转发功能 此列表限制条件定义了可启用 IP 转发功能的一组虚拟机实例。默认情况下，任何虚拟机都可以在任何虚拟网络中启用 IP 转发功能。虚拟机实例必须按以下格式指定：under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、under:projects/PROJECT_ID 或 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE-NAME。
constraints/compute.vmCanIpForward 		"is:"、"under:"
Compute Engine 为虚拟机实例定义允许的外部 IP 此列表限制条件定义了一组可以使用外部 IP 地址的 Compute Engine 虚拟机实例。
默认情况下，所有虚拟机实例都可以使用外部 IP 地址。
虚拟机实例的允许/拒绝列表必须由虚拟机实例名称标识，格式为：projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

constraints/compute.vmExternalIpAccess		 "is:"
重要联系人 网域限定联系人 此列表限制条件指定了添加到重要联系人中的电子邮件地址可以拥有的一组网域。
默认情况下，任何网域中的电子邮件地址都可以添加到重要联系人中。
允许/拒绝列表必须指定一个或多个 @example.com 形式的网域。如果此限制条件已启用并配置了允许值，则只有后缀与域名许可名单中的某个条目匹配的电子邮件地址才可以添加到重要联系人中。
此限制条件不会影响现有联系人的更新或移除。
constraints/essentialcontacts.allowedContactDomains 		"is:"
Cloud Healthcare 停用 Cloud Logging 在实施此限制条件的组织、项目或文件夹中停用 Cloud Logging。审核日志不受此限制条件影响。
在实施该限制条件之前生成的日志不会被删除，仍然可供访问。
只有 Cloud Healthcare API 支持此限制条件。
constraints/gcp.disableCloudLogging 		"is:"
Identity and Access Management 允许将 OAuth 2.0 访问令牌的生命周期延长至 12 小时 此列表限制条件定义了一组可以授予生命周期长达 12 小时的 OAuth 2.0 访问令牌的服务帐号。默认情况下，这些访问令牌的最长生命周期为 1 小时。
服务帐号的允许/拒绝列表必须指定一个或多个服务帐号电子邮件地址。
constraints/iam.allowServiceAccountCredentialLifetimeExtension 		"is:"
Identity and Access Management 网域限定共享 此列表限制条件定义了可添加至 Cloud IAM 政策的成员组。
默认情况下，所有用户身份都可以添加至 Cloud IAM 政策。
允许/拒绝列表必须指定一个或多个 Cloud Identity 或 G Suite 客户 ID。如果启用了此限制条件，则只有允许列表中的身份才可以添加至 Cloud IAM 政策。

constraints/iam.allowedPolicyMemberDomains 		"is:"
Identity and Access Management 停用跨项目服务帐号使用情况 当强制执行时，服务帐号只能使用 ServiceAccountUser 角色部署到服务帐号所在项目中运行的作业（虚拟机、函数等）。
constraints/iam.disableCrossProjectServiceAccountUsage 		"is:"
Identity and Access Management 禁止创建服务帐号 设置为“True”时，此布尔值限制条件会禁止创建服务帐号。
默认情况下，用户可根据其 Cloud IAM 角色和权限创建服务帐号。

constraints/iam.disableServiceAccountCreation 		"is:"
Identity and Access Management 禁止创建服务帐号密钥 设置为“True”时，此布尔值限制条件会禁止创建服务帐号外部密钥。
默认情况下，用户可根据其 Cloud IAM 角色和权限创建服务帐号外部密钥。

constraints/iam.disableServiceAccountKeyCreation		 "is:"
Identity and Access Management 停用服务帐号密钥上传功能 设置为“True”时，此布尔值限制条件会停用允许向服务帐号上传公钥的功能。
默认情况下，用户可根据其 Cloud IAM 角色和权限向服务帐号上传公钥。
constraints/iam.disableServiceAccountKeyUpload		 "is:"
Identity and Access Management 停用 Workload Identity 集群创建 设置为“True”时，此布尔值限制条件会要求所有新的 GKE 集群在创建时停用 Workload Identity。已启用 Workload Identity 的现有 GKE 集群会继续正常运行。默认情况下，可以为任何 GKE 集群启用 Workload Identity。
constraints/iam.disableWorkloadIdentityClusterCreation 		"is:"
Identity and Access Management 可在 Cloud IAM 中为工作负载身份联合配置的允许的 AWS 帐号 可在 Cloud IAM 中为工作负载身份联合配置的 AWS 帐号 ID 列表。
constraints/iam.workloadIdentityPoolAwsAccounts 		"is:"
Identity and Access Management 为处理工作负载而允许 Cloud IAM 联系的外部身份提供商 可以进行配置以在 Cloud IAM 内进行工作负载身份验证的身份提供商（通过 URI/网址指定）。
constraints/iam.workloadIdentityPoolProviders		 "is:"
Resource Manager 限制共享 VPC 项目安全锁移除作业 设置为 True 时，此布尔值限制条件会限制无组织级层权限、但能够移除共享 VPC 项目安全锁的一组用户。
默认情况下，任何具有安全锁更新权限的用户都可以移除共享 VPC 项目安全锁。实施此限制条件需要在组织级层授予权限。

constraints/compute.restrictXpnProjectLienRemoval		 "is:"
Resource Manager 限制移除跨项目服务帐号安全锁 当强制执行此布尔值限制条件时，系统可防止用户在没有组织级别权限的情况下移除跨项目服务帐号安全锁。默认情况下，任何具有安全锁更新权限的用户都可以移除跨项目服务帐号安全锁。强制执行此限制条件需要在组织级别授予该权限。
constraints/iam.restrictCrossProjectServiceAccountLienRemoval 		"is:"
Resource Manager 跨组织移动时需要启用的服务许可清单 此列表限制条件的作用是检查启用了某项服务的项目是否可以进行跨组织移动。启用了某项受支持服务的资源必须强制执行此限制条件，并且必须在允许值中包含相应的受支持服务，才可进行跨组织移动。受支持服务当前的允许值列表如下：
  • SHARED_VPC

此限制条件在 constraints/resourcemanager.allowedExportDestinations 之上提供了额外一层控制。此 list_constraint 默认为空，且不会阻止跨组织移动，除非针对要导出的资源启用了某项受支持服务。在将资源移至另一个组织的过程中，此限制条件允许对那些使用需要更加谨慎的特征的资源进行更精细的控制。默认情况下，无法在组织间移动启用了某项受支持服务的资源。
constraints/resourcemanager.allowEnabledServicesForExport 		"is:"
Resource Manager 允许的资源导出目的地 此列表限制条件指定了一组可将资源移至其中的外部组织，并拒绝所有将资源移至其他所有组织的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，相应资源只能移至此限制条件明确允许的组织中。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。
constraints/resourcemanager.allowedExportDestinations 		"is:"、"under:"
Resource Manager 允许的资源导入来源 此列表限制条件指定了一组可作为资源导入来源的外部组织，并拒绝所有从其他所有组织导入资源的操作。默认情况下，您无法在组织之间移动资源。如果对某项资源应用此限制条件，此限制条件必须明确允许在此资源下直接导入的资源。资源在组织内部的移动不受此限制条件的约束。移动操作仍然需要与正常的资源移动相同的 IAM 权限。许可名单/拒绝名单中指定的值必须采用如下格式：under:organizations/ORGANIZATION_ID。
constraints/resourcemanager.allowedImportSources 		"is:"、"under:"
Cloud Run 允许的 Binary Authorization 政策 (Cloud Run) 预览：此列表限制条件定义了一组可以针对 Cloud Run 资源指定的 Binary Authorization 政策名称。默认情况下，资源可以指定任何 Binary Authorization 政策。
由于每个项目只存在一项 Binary Authorization 政策，因此，这个许可/拒绝政策名单只能使用 default 值。

constraints/run.allowedBinaryAuthorizationPolicies 		"is:"
Cloud Run 允许的入站流量设置 (Cloud Run) 此列表限制条件定义了 Cloud Run 服务可以使用的入站流量设置。如果实施了此限制条件，服务必须具有与某个允许的值匹配的入站流量设置。入站流量设置违反此限制条件的现有 Cloud Run 服务可以继续更新，直到相应服务的入站流量设置更改为符合此限制条件为止。服务一旦符合此限制条件，就只能使用此限制条件允许的入站流量设置。
默认情况下，Cloud Run 服务可以使用任何入站流量设置。
许可名单必须包含支持的入站流量设置值，包括 all、internal 和 internal-and-cloud-load-balancing。

constraints/run.allowedIngress 		"is:"
Cloud Run 允许的 VPC 出站流量设置 (Cloud Run) 此列表限制条件定义了 Cloud Run 服务的修订版本可以使用的 VPC 出站流量设置。如果实施了此限制条件，服务的修订版本必须使用无服务器 VPC 访问通道连接器，并且相应修订版本的 VPC 出站流量设置必须与某个允许的值匹配。
对于现有服务，所有新部署的修订版本都必须遵守此限制条件。如果现有服务的修订版本处理的流量违反此限制条件，仍可以继续将流量迁移到违反此限制条件的修订版本。在服务的所有流量都由符合此限制条件的修订版本处理后，所有后续流量迁移都只能将流量迁移到符合此限制条件的修订版本。
默认情况下，Cloud Run 修订版本可以将 VPC 出站流量设置设为任何支持的值。
许可名单必须包含支持的 VPC 出站流量设置值，包括 private-ranges-only 和 all-traffic。

constraints/run.allowedVPCEgress 		"is:"
服务使用者管理 停用默认服务帐号的自动 IAM 授权 强制执行此布尔值限制条件后，当创建帐号时，在项目中创建的默认 App Engine 和 Compute Engine 服务帐号将无法自动获得项目的任何 IAM 角色。
默认情况下，这些服务帐号在创建后会自动获得 Editor 角色。
constraints/iam.automaticIamGrantsForDefaultServiceAccounts 		"is:"
Cloud Storage Google Cloud Platform - 详细的审核日志模式 强制执行详细的审核日志模式时，请求和响应都会包含在 Cloud Audit Logs 中。对此功能进行的更改最多可能需要 10 分钟才会生效。在寻求满足 SEC Rule 17a-4(f)、CFTC Rule 1.31(c)-(d) 和 FINRA Rule 4511(c) 等合规性要求时，强烈建议将此组织政策与存储分区锁定搭配使用。仅 Google Cloud Storage 支持此政策。
constraints/gcp.detailedAuditLoggingMode 		"is:"
Cloud Storage 强制执行禁止公开访问设置 预览版：通过强制执行阻止公开访问的措施，让您的 Cloud Storage 数据免遭公开泄露。此治理政策通过停用和阻止向 allUsers 和 allAuthenticatedUsers 授予访问权限的 ACL 和 IAM 权限，防止通过公共互联网访问现有和未来的资源。对整个组织（推荐）、特定项目或特定文件夹强制执行此政策，以确保数据不会公开泄露。
此政策会覆盖现有的公共权限。启用此政策后，系统将撤消现有存储桶和对象的公开访问权限。
constraints/storage.publicAccessPrevention 		"is:"
Cloud Storage 保留政策时长（秒） 此列表限制条件定义了可针对 Cloud Storage 存储分区设置的一组保留政策时长。
默认情况下，如果未指定任何组织政策，Cloud Storage 存储分区的保留政策将没有任何时长限制。
允许的时长列表必须指定为大于零的正整数值，并以秒作为保留政策时长的时间单位。
对组织资源中的存储桶执行的任何插入、更新或修补操作都必须具有与此限制条件一致的保留政策时长。
实施此限制条件没有追溯性。在应用新的组织政策后，现有存储分区的保留政策将保持不变并继续有效。

constraints/storage.retentionPolicySeconds 		"is:"
Cloud Storage 实施统一存储分区级访问权限 此布尔值限制条件设置为 True 时，存储分区必须使用统一的存储分区级访问权限。组织资源中的所有新存储分区都必须启用统一的存储分区级访问权限，并且组织资源中的任何存储分区都不得停用统一的存储分区级访问权限。
实施此限制条件不会影响先前的操作；也就是说，已停用统一的存储分区级访问权限的现有存储分区将继续停用该权限。此限制条件的默认值为 False。
统一的存储分区级访问权限会禁止评估分配给该存储分区中的 Cloud Storage 对象的 ACL。因此，只有 IAM 政策会授予对这些存储分区中对象的访问权限。

constraints/storage.uniformBucketLevelAccess 		"is:"

方法指南

如需详细了解如何使用各个限制条件：

限制条件 方法指南
constraints/cloudfunctions.allowedIngressSettings 使用 VPC Service Controls
constraints/cloudfunctions.allowedVpcConnectorEgressSettings 使用 VPC Service Controls
cloudfunctions.requireVPCConnector 使用 VPC Service Controls
constraints/compute.restrictCloudNATUsage 限制 Cloud NAT 用量
constraints/compute.restrictLoadBalancerCreationForTypes Cloud Load Balancing 限制条件
constraints/compute.restrictProtocolForwardingCreationForTypes 协议转发限制条件
constraints/compute.restrictDedicatedInterconnectUsage
constraints/compute.restrictPartnerInterconnectUsage		 限制 Cloud Interconnect 用量
constraints/compute.restrictVpnPeerIPs 通过 Cloud VPN 隧道限制对等 IP 地址
constraints/compute.trustedImageProjects 限制对映像的访问
constraints/compute.vmExternalIpAccess 停用虚拟机的外部 IP 访问权限
constraints/iam.allowedPolicyMemberDomains 按网域限制身份
constraints/iam.allowServiceAccountCredentialLifetimeExtension 延长 OAuth 2.0 访问令牌的生命周期
constraints/iam.disableCrossProjectServiceAccountUsage 将服务帐号附加到其他项目中的资源
constraints/iam.disableServiceAccountCreation 限制服务帐号的创建
constraints/iam.disableServiceAccountKeyCreation 限制服务帐号密钥的创建
constraints/iam.disableServiceAccountKeyUpload 限制服务帐号密钥上传功能
constraints/iam.disableWorkloadIdentityClusterCreation 限制工作负载身份集群创建功能
constraints/iam.restrictCrossProjectServiceAccountLienRemoval 将服务帐号附加到其他项目中的资源
constraints/gcp.detailedAuditLoggingMode
constraints/storage.retentionPolicySeconds
constraints/storage.uniformBucketLevelAccess
constraints/storage.publicAccessPrevention		 Cloud Storage 的组织政策限制
constraints/gcp.disableCloudLogging 停用 Cloud Logging
constraints/gcp.resourceLocations 限制资源位置
constraints/compute.restrictCloudNATUsage Cloud NAT 的组织政策限制
constraints/run.allowedIngress 使用 VPC Service Controls
constraints/run.allowedVPCEgress 使用 VPC Service Controls

了解详情

如需详细了解组织政策的核心概念：