快速入门：实施组织政策

本指南介绍如何设置包含资源位置限制条件的组织政策，以及如何在 Google Cloud Console 中应用该限制条件后对其进行测试。

准备工作

您必须在组织资源级层拥有以下 Identity and Access Management (IAM) 角色：

• roles/orgpolicy.policyAdmin

要创建 Compute Engine 资源，您需要拥有一个有效的结算帐号。

新建项目

要创建项目资源，请按照以下步骤操作：

1. 转到 Cloud Console 中的管理资源页面。
   转到“管理资源”页面
2. 在页面顶部的选择组织下拉列表中，选择要在其中创建项目的组织。如果您使用的是免费试用版，请跳过此步骤，因为系统不会显示此列表。
3. 点击创建项目。
4. 在显示的新建项目窗口中，输入项目名称并选择适用的结算帐号。项目名称只能包含字母、数字、英文单引号、连字符、空格或英文感叹号，且长度必须介于 4 到 30 个字符之间。
5. 在位置框中输入父级组织或文件夹。该资源将是新项目的分层父级。
6. 输入完新项目的详细信息后，点击创建。

创建项目后，系统会为您分配 Owner 角色。 此角色拥有您在以下快速入门部分所需的所有权限。 如需详细了解权限，请参阅授予、更改和撤消对资源的访问权限。

创建 Compute Engine 磁盘

要测试资源位置限制条件的功能，请设置 Compute Engine 区域永久性磁盘。创建区域永久性磁盘时，您必须指定该磁盘所在的位置。如需详细了解如何创建 Compute Engine 区域永久性磁盘，请参阅添加区域永久性磁盘或调整其大小。

1. 转到 Google Cloud Console 中的磁盘页面。

   转到“磁盘”页面

2. 选择您之前创建的项目。
   1. 如果系统提示您将项目与结算帐号关联起来，请立即执行此操作。 如需详细了解如何启用结算功能，请参阅修改项目的结算设置。
3. 点击创建磁盘。
4. 为您的磁盘指定一个名称。
5. 选择在区域内复制此磁盘。
6. 在区域下选择 europe-north1 (Finland)。
7. 在地区下选择 europe-north1-a 和 europe-north1-b。
8. 点击创建。

成功创建磁盘后，相应名称旁会显示一个绿色的对勾标记。

设置组织政策

要为您创建的项目设置组织政策，请执行以下操作：

1. 转到 Cloud Console 中的组织政策页面。
   转到“组织政策”页面
2. 点击选择。
3. 选择您创建的项目。
4. 点击 Google Cloud Platform -定义资源位置，然后点击修改。
5. 在应用对象下，选择自定义。
6. 在政策值下，选择自定义。
7. 在政策类型下，选择允许。
8. 在政策值框中，输入 in:asia-locations。
9. 点击保存。此时系统会显示一条通知，以确认更新政策。

asia-locations 是由 Google 精心挑选的一个值组，用于包含特定地区中的所有位置。在此示例中，亚洲的所有区域都被定义为在此之后创建的任何资源的允许位置。请注意，上面创建的区域永久性磁盘不受此新政策的影响，因为该政策的效力不会追溯既往。

测试组织政策

组织政策现已生效，因此您无法在组织政策未指定的区域中创建资源。要对此进行测试，请尝试在一个无效位置创建区域永久性磁盘：

1. 转到 Cloud Console 中的磁盘页面。

   转到“磁盘”页面

2. 选择上面创建的项目。
3. 点击创建磁盘。
4. 为您的磁盘指定一个名称。
5. 选择在区域内复制此磁盘。
6. 在区域下选择 europe-north1 (Finland)。
7. 在地区下选择 europe-north1-a 和 europe-north1-b。
8. 点击创建。

此时，系统会在相应名称旁边显示一个红色的英文感叹号，并显示以下错误通知：

Location ZONE:europe-north1-a violates constraint
constraints/gcp.resourceLocations on the resource RESOURCE_ID

其中，RESOURCE_ID 是项目和磁盘的完整资源路径。系统未创建该磁盘。

在有效位置创建区域永久性磁盘

除非您指定的位置有效，否则组织政策限制条件会阻止资源的创建：

1. 转到 Cloud Console 中的磁盘页面。

   转到“磁盘”页面

2. 选择您之前创建的项目。
3. 点击创建磁盘。
4. 为您的磁盘指定一个名称。
5. 选择在区域内复制此磁盘。
6. 在区域下选择 asia-east2 (Hong Kong)。
7. 在地区下选择 asia-east2-a 和 asia-east2-b。
8. 点击创建。

系统便会成功创建资源，因为 asia-east2 下的所有地区均在 asia-locations 值组范围内。

清理

为避免系统因本快速入门中使用的资源向您的 Google Cloud 帐号收取费用，请按照以下步骤操作。

删除区域永久性磁盘

删除您为本快速入门创建的区域永久性磁盘：

1. 转到 Cloud Console 中的磁盘页面。

   转到“磁盘”页面

2. 在显示的列表中，选择您创建的两个磁盘。
3. 点击创建磁盘按钮右侧的删除。
4. 在显示的确认对话框中，点击删除。

此时系统会显示一个通知对话框，以确认磁盘已被删除。

删除项目

您可以按照以下方式删除您为本快速入门创建的项目：

1. 转到 Cloud Console 中的管理资源页面。
   转到“管理资源”页面
2. 在页面顶部的下拉列表中，选择您在其中为本快速入门创建了项目的组织。
3. 在显示的项目资源列表中，选择您创建的项目，然后点击删除。
4. 在出现的关停项目对话框中，输入项目 ID，然后点击关停。

后续步骤

• 详细了解如何实施组织政策限制条件。
• 查看支持资源位置限制条件的服务。