Resource Manager는 조직 정책에서 도메인 또는 조직 리소스를 기반으로 리소스 공유를 제한하는 데 사용할 수 있는 도메인 제한 제약조건을 제공합니다. 이 제약조건을 사용하면 Identity and Access Management 정책에서 사용할 수 있는 ID 집합을 제한할 수 있습니다.
조직 정책은 이 제약조건을 사용해서 특정 조직 리소스에 속하는 ID로 리소스 공유를 제한할 수 있습니다. 또는 하나 이상의 도메인 집합을 지정할 수 있으며 폴더 또는 프로젝트별 기준으로 예외를 부여할 수 있습니다. 예외 추가에 대한 자세한 내용은 프로젝트의 조직 정책 재정의를 참조하세요.
도메인 제한 제약조건은 소급 적용되지 않습니다. 도메인 제한이 설정되면 이전 변경사항이 아니라 해당 시점 이후의 IAM 정책 변경사항에 적용됩니다. 도메인 제한 제약조건은 서비스 에이전트가 다른 작업에 대한 응답으로 변경하는 사항을 포함하여 모든 IAM 정책 변경사항에 적용됩니다. 예를 들어 BigQuery 데이터 세트를 가져오는 자동화된 서비스가 있는 경우 BigQuery 서비스 에이전트는 새로 생성된 데이터 세트에 대한 IAM 정책을 변경합니다. 이 작업은 도메인 제한 제약조건에 의해 제한되고 차단됩니다.
examplepetstore.com과 altostrat.com과 같은 두 개의 관련 조직을 예시로 들어보겠습니다. altostrat.com에서 examplepetstore.com ID에 IAM 역할을 부여했습니다. 이후 도메인별로 ID를 제한하고 altostrat.com에서 도메인 제한 제약조건을 적용한 조직 정책을 구현했습니다. 이 경우 기존 examplepetstore.com ID는 altostrat.com에서 액세스 권한을 손실하지 않습니다. 이 시점에서 IAM 역할은 altostrat.com 도메인의 ID에만 부여할 수 있었습니다.
도메인 제한 제약조건은 iam.allowedPolicyMemberDomains 목록 제약조건을 기반으로 합니다.
이 제약조건이 Google Cloud 조직 리소스에서 설정되면 해당 조직 리소스에 속하는 모든 ID에 영향을 미칩니다. 이 제약조건이 Google Workspace 도메인에서 설정되면 해당 도메인에 속하는 모든 ID에 영향을 미칩니다. 여기에는 Google Cloud 콘솔이 아니라 Google Workspace 콘솔에서 관리하는 사용자 계정이 포함됩니다.
조직 정책 설정
도메인 제한 제약조건은 일종의 목록 제약조건입니다.
Google Workspace 고객 ID 및 Google Cloud 조직 리소스 ID를 도메인 제한 제약조건의 allowed_values 목록에서 추가하거나 삭제할 수 있습니다. 도메인 제한 제약조건은 값 거부를 지원하지 않으며 조직 정책을 denied_values 목록에 ID로 저장할 수 없습니다.
allowed_values에 나열된 Google Workspace 계정 또는 조직 리소스와 연결된 모든 도메인이 조직 정책에서 허용됩니다. 다른 모든 도메인은 조직 정책에 의해 거부됩니다.
지원되는 리소스 목록에 포함된 모든 리소스에 도메인 제한 제약조건을 조건부로 적용하는 조직 정책을 만들 수 있습니다. 예를 들면 Cloud Storage 버킷, BigQuery 데이터 세트 또는 Compute Engine VM입니다.
이 제약조건을 설정하려면 조직 정책을 수정할 권한이 있어야 합니다. 예를 들어 orgpolicy.policyAdmin 역할은 조직 정책 제약조건을 설정할 권한이 있습니다. resourcemanager.organizationAdmin 역할에는 사용자를 조직 정책 관리자로 추가할 수 있는 권한이 있습니다.
조직 수준에서 정책을 관리하는 방법에 대해서는 제약조건 사용 페이지에서 자세히 알아보세요.
콘솔
도메인 제한 제약조건을 포함하여 조직 정책을 설정하려면 다음을 수행합니다.
Google Cloud 콘솔에서 조직 정책 페이지로 이동합니다.
프로젝트 선택 도구에서 정책을 설정할 조직 리소스를 선택합니다.
조직 정책 페이지의 제약조건 목록에서 도메인 제한 공유를 선택합니다.
정책 세부정보 페이지에서 정책 관리를 클릭합니다.
적용 대상에서 상위 정책 재정의를 선택합니다.
규칙 추가를 클릭합니다.
정책 값에서 커스텀을 선택합니다. 참고: 도메인 제한 제약조건은 모두 거부를 지원하지 않습니다.
정책 유형에서 허용을 선택합니다. 참고: 도메인 제한 제약조건은 거부 값을 지원하지 않습니다.
커스텀 값에서 필드에 조직 리소스 ID 또는 Google Workspace 고객 ID를 입력합니다.
여러 ID를 추가하려면 새 정책 값을 클릭하여 추가 필드를 만듭니다.
완료를 클릭합니다.
필요에 따라 태그에 도메인 제한 제약조건을 조건부로 만들려면 조건 추가를 클릭합니다.
제목 필드에 조건의 이름을 입력합니다.
설명 필드에 조건 설명을 입력합니다. 설명에서는 필요한 태그와 태그가 리소스에 미치는 영향에 대한 컨텍스트를 제공합니다.
조건 작성 도구를 사용하여 제약조건이 적용되도록 특정 태그가 필요한 조건을 만들 수 있습니다.
조건 작성 도구 탭의 조건 유형 드롭다운 메뉴에서 태그를 선택합니다.
조건 연산자를 선택합니다. 전체 태그를 일치시키려면 일치 연산자를 사용합니다. 태그 키와 태그 값을 일치시키려면 ID 일치 연산자를 사용합니다.
일치 연산자를 선택했으면 태그의 네임스페이스 값을 입력합니다. 일치 ID 연산자를 선택했으면 키와 값 ID를 입력합니다.
추가를 클릭하면 조건을 여러 개 만들 수 있습니다. 다른 조건을 추가하는 경우 And로 전환하여 조건부 논리가 모두 필요하도록 설정할 수 있습니다. Or로 전환하면 조건 중 하나만 참이 되도록 조건부 논리를 설정할 수 있습니다.
조건 필드 오른쪽에 있는 큰 X를 클릭하여 표현식을 삭제할 수 있습니다.
조건 수정을 완료했으면 저장을 클릭합니다.
정책을 시행하려면 정책 설정을 클릭합니다.
gcloud
Google Cloud CLI를 통해 정책을 설정할 수 있습니다. 도메인 제한 제약조건을 포함하는 정책을 만들려면 다음 명령어를 실행하세요.
도메인 제한 제약조건을 포함하는 조직 정책을 설정하려면 다음 명령어를 실행합니다.
gcloud org-policies set-policy POLICY_PATH
여기에서 POLICY_PATH는 조직 정책 YAML 파일의 전체 경로이며 다음과 유사합니다.
name: organizations/ORGANIZATION_ID/policies/iam.allowedPolicyMemberDomains
spec:
rules:
- condition: # This condition applies to the values block.
expression: "resource.matchTag('ORGANIZATION_ID/environment', 'dev')"
values:
allowedValues:
- PRINCIPAL_SET
- values:
allowedValues:
- PRINCIPAL_SET
다음을 바꿉니다.
- ORGANIZATION_ID를 이 정책을 설정할 조직 리소스의 ID로 바꿉니다.
조직 리소스 ID를 포함하여 허용할 Cloud ID 주 구성원 식별자에 대한 PRINCIPAL_SET. 예를 들면
is:principalSet://iam.googleapis.com/organizations/01234567890123입니다.허용할 다른 모든 ID에 Google Workspace 고객 ID를 사용해야 합니다. 예를 들면
is:C03g5e3bc입니다.
이 조직 정책이 적용되면 allowed_values 목록에서 조직 리소스 ID 또는 Google Workspace 도메인에 속하는 ID만 IAM 정책에서 허용됩니다.
Google Workspace 사용자와 그룹은 조직 리소스의 하위 요소이거나 해당 Google Workspace 도메인에 속해야 하며 IAM 서비스 계정은 지정된 Google Workspace 도메인과 연결된 조직 리소스의 하위 요소여야 합니다.
예를 들어 회사 Google Workspace의 고객 ID로만 조직 정책을 만든 경우 해당 도메인의 주 구성원만 IAM 정책에 추가될 수 있습니다.
조직 정책에 제약 조건을 사용하는 방법에 대한 자세한 내용은 제약 조건 사용을 참조하세요.
오류 메시지 예시
allowed_values 목록에 포함되지 않은 주 구성원을 추가하여 도메인 제한 조직 제약조건을 위반할 경우 작업이 실패하고 오류 메시지가 표시됩니다.
콘솔
gcloud
ERROR: (gcloud.projects.set-iam-policy) FAILED_PRECONDITION: One or more users named in the policy do not belong to a permitted customer.
조직 리소스 ID 검색
Google Cloud 콘솔, gcloud CLI 또는 Cloud Resource Manager API를 사용하여 조직 리소스 ID를 가져올 수 있습니다.
콘솔
Google Cloud 콘솔을 사용하여 조직 리소스 ID를 가져오려면 다음 단계를 따르세요.
- Google Cloud 콘솔로 이동합니다.
Google Cloud 콘솔로 이동합니다.
- 페이지 상단의 프로젝트 선택기에서 조직 리소스를 선택합니다.
- 오른쪽에서 더보기를 클릭한 후 설정을 클릭합니다.
설정 페이지에 조직 리소스 ID가 표시됩니다.
gcloud
조직 리소스 ID를 찾으려면 다음 명령어를 실행하세요.
gcloud organizations list
이 명령어는 사용자가 속한 모든 조직 리소스와 해당 조직 리소스 ID를 나열합니다.
API
Cloud Resource Manager API를 사용하여 조직 리소스 ID를 찾으려면 도메인에 대한 쿼리를 포함해 organizations.search() 메서드를 사용합니다. 예를 들면 다음과 같습니다.
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
응답에는 조직 리소스 ID를 포함하여 altostrat.com에 속하는 조직 리소스의 메타데이터가 포함됩니다.
조직 리소스 ID를 확인한 후 여기에 속한 주 구성원 집합에 올바른 식별자를 사용해야 합니다. 예를 들면 다음과 같습니다.
principalSet://iam.googleapis.com/organizations/01234567890123
IAM 주 구성원 식별자에 대한 자세한 내용은 주 구성원 식별자를 참조하세요.
Google Workspace 고객 ID 검색
도메인 제한 제약조건에서 사용하는 Google Workspace 고객 ID를 두 가지 방법으로 얻을 수 있습니다.
gcloud
gcloud organizations list 명령어를 사용하면 resourcemanager.organizations.get 권한이 있는 모든 조직을 볼 수 있습니다.
gcloud organizations list
이 명령어는 DISPLAY_NAME, ID (조직 ID), DIRECTORY_CUSTOMER_ID를 반환합니다. Google Workspace 고객 ID는 DIRECTORY_CUSTOMER_ID입니다.
API
Google Workspace Directory API를 사용하면 Google Workspace 고객 ID를 검색할 수 있습니다.
Google Workspace 관리자로 로그인하면 Customers: get API 메서드 문서를 방문하여 Execute를 클릭합니다. 승인 후에는 응답에 고객 ID가 표시됩니다.
또는 API 클라이언트를 사용할 수 있습니다.
https://www.googleapis.com/auth/admin.directory.customer.readonly범위용 OAuth 액세스 토큰을 가져옵니다.다음 명령어를 실행하여 Google Workspace Directory API를 쿼리합니다.
curl -# -X GET "https://www.googleapis.com/admin/directory/v1/customers/customerKey" \ -H "Authorization: Bearer $access_token" -H "Content-Type: application/json"
이 명령어는 고객 정보를 포함하는 JSON 응답을 반환합니다. Google Workspace 고객 ID는 id입니다.
하위 도메인 제한
도메인 제한 제약조건에서 Google Cloud 조직 리소스를 허용하면 해당 조직 리소스와 연결된 모든 리소스에 대한 액세스가 허용되고 다른 모든 리소스에 대한 액세스는 차단됩니다.
도메인 제한 제약조건에서 Google Workspace 고객 ID를 허용하면 해당 Google Workspace 고객 ID와 연결된 모든 도메인에 대한 액세스가 제한되고 다른 모든 도메인에 대한 액세스가 차단됩니다. 모든 Google Workspace 계정에는 정확하게 기본 도메인 하나와 보조 도메인 0개 이상이 있습니다. Google Workspace 고객 ID와 연결된 모든 도메인에 제약조건이 적용됩니다.
도메인 제한 제약조건을 리소스에 적용하면 리소스 계층 구조에서 해당 리소스와 하위 요소에 액세스할 수 있는 기본 도메인과 모든 보조 도메인을 제어합니다.
일반적인 Google Workspace 도메인과 하위 도메인 조합의 예시는 다음 표를 참조하세요.
| 기본 도메인 | 하위 도메인 | 도메인 제한 제약조건 | user@sub.altostrat.com 허용 여부 |
|---|---|---|---|
| altostrat.com | 없음 | 허용: altostrat.com | 아니요 |
| altostrat.com | sub.altostrat.com | 허용: altostrat.com | 예 |
| altostrat.com | sub.altostrat.com | 허용: sub.altostrat.com | 예 |
| sub.altostrat.com | altostrat.com | 허용: sub.altostrat.com | 예 |
| sub.altostrat.com | 없음 | 허용: sub.altostrat.com | 예 |
두 도메인의 도메인 제한 제약조건 액세스를 구분하려면 각 도메인을 다른 Google Workspace 계정과 연결해야 합니다. 각 Google Workspace 계정은 조직 노드와 연결되며, 자체 조직 정책을 적용할 수 있습니다. 이렇게 하면 세부적인 액세스 제어를 위해 altostrat.com을 하나의 Google Workspace 계정과 연결할 수 있고 sub.altostrat.com을 다른 계정과 연결할 수 있습니다. 자세한 내용은 여러 조직 관리를 참조하세요.
알려진 문제 해결
조직 정책은 소급 적용되지 않습니다. 강제 적용된 제약조건을 위반하는 리소스 계층 구조를 강제로 변경해야 하는 경우 조직 정책을 사용 중지하고 변경한 다음 다시 조직 정책을 사용 설정하면 됩니다.
다음 섹션에서는 이 제약조건이 적용될 때 발생할 수 있는 서비스의 알려진 문제를 설명합니다.
Google 애널리틱스 360을 BigQuery에 연결
도메인 제한 제약조건이 적용된 상태에서 Google 애널리틱스 360과 BigQuery를 연결하려고 하면, analytics-processing-dev@system.gserviceaccount.com 서비스 계정이 이미 프로젝트 수준의 Editor로 직접 또는 Google 그룹스를 사용하여 추가되어도 작업이 One or more users named in the policy do not belong to a permitted
customer 오류 메시지와 함께 실패합니다.
Google 애널리틱스 360을 BigQuery와 연결하려면 다음 안내를 따르세요.
도메인 제한 제약조건을 포함하는 조직 정책을 사용 중지합니다.
Google 애널리틱스 360에서 연결 프로세스를 수행합니다.
도메인 제한 제약조건을 다시 적용합니다.
공개 데이터 공유
BigQuery, Cloud Functions, Cloud Run Functions, Cloud Storage, Pub/Sub와 같은 일부 Google Cloud 제품은 공개 데이터 공유를 지원합니다. 조직 정책에서 도메인 제한 공유 제약조건을 적용하면 공개 데이터 공유가 차단됩니다.
데이터를 공개적으로 공유하려면 공유하려는 데이터가 있는 프로젝트 리소스에 대해 일시적으로 도메인 제한 공유 제약조건을 사용 중지합니다. 리소스를 공개적으로 공유한 후 도메인 제한 공유 제약조건을 다시 사용 설정할 수 있습니다.
결제 계정의 BigQuery 로그 싱크
결제 계정의 BigQuery 로그 싱크에 사용되는 서비스 계정(형식: b*@*.iam.gserviceaccount.com)은 외부 계정으로 취급되며 조직 정책에서 도메인 제한 공유 제약조건에 의해 차단됩니다.
도메인 제한 제약조건이 적용된 프로젝트에서 이 서비스 계정에 BigQuery 데이터 세트에 대한 역할을 부여하려면 다음 안내를 따르세요.
도메인 제한 제약조건을 포함하는 조직 정책을 사용 중지합니다.
해당 서비스 계정(형식:
b*@*.iam.gserviceaccount.com)에 싱크 생성 프로세스 중에 표시되는 BigQuery 역할을 부여합니다.도메인 제한 제약조건을 다시 적용합니다.
Cloud Billing 내보내기 서비스 계정
이 제약조건이 사용 설정된 상태에서는 버킷으로 결제 내보내기를 사용할 수 없습니다. 결제 내보내기에 사용되는 버킷에는 이 제약조건을 사용하지 마세요.
Cloud Billing 내보내기 서비스 계정 이메일 주소는 509219875288-kscf0cheafmf4f6tp1auij5me8qakbin@developer.gserviceaccount.com입니다.
스토리지 액세스 로깅 사용 설정
사용 설정하면 도메인 제한 제약조건으로 인해 조직 정책에서 특별히 허용되지 않은 도메인이 차단됩니다. 이렇게 하면 Google 서비스 계정 액세스 권한도 부여되지 않습니다. 도메인 제한 제약조건이 적용된 Cloud Storage 버킷에 스토리지 액세스 로깅을 설정하려면 다음 안내를 따르세요.
도메인 제한 제약조건을 포함하는 조직 정책을 사용 중지합니다.
해당 버킷에 대한
cloud-storage-analytics@google.comWRITE액세스 권한을 부여합니다.도메인 제한 제약조건을 다시 적용합니다.
서비스 에이전트 역할 부여
서비스 에이전트 역할은 서비스 계정에만 부여됩니다. 이러한 유형의 역할을 부여해야 하는 경우 다음 안내를 따르세요.
Firebase API 사용 설정
사용 설정하면 도메인 제한 제약조건이 조직 정책에서 허용되지 않는 서비스 계정을 차단합니다. 이렇게 하면 API를 사용 설정하는 과정에서 외부 서비스 계정이 필요한 Firebase API를 사용 설정할 수 없습니다. API를 사용 설정하면 Firebase API의 기능을 방해하지 않고 도메인 제한 제약조건을 안전하게 적용할 수 있습니다. Firebase API를 사용 설정하려면 다음 안내를 따르세요.
Google 그룹스
도메인 제한 제약조건이 조직에 적용된 경우 그룹이 허용된 도메인에 속하더라도 새로 생성된 Google 그룹스에 역할을 부여하지 못할 수 있습니다. 이것은 그룹이 Google Cloud를 통해 완전히 전파되려면 최대 24시간까지 걸릴 수 있기 때문입니다. 새로 만든 Google 그룹에 역할을 부여할 수 없으면 24시간을 기다린 후 다시 시도하세요.
또한 그룹이 허용 도메인에 속하는지 여부를 평가할 때 IAM은 그룹의 도메인만 평가합니다. 그룹 구성원의 도메인은 평가하지 않습니다. 따라서 프로젝트 관리자가 Google 그룹스에 외부 구성원을 추가한 후 이러한 Google 그룹스에 역할을 부여함으로써 도메인 제한 제약조건을 우회할 수 있습니다.
프로젝트 관리자가 도메인 제한 제약조건을 우회하지 않도록 하려는 경우 Google Workspace 관리자는 그룹 소유자가 Google Workspace 관리자 패널에서 도메인 외부의 구성원을 허용할 수 없도록 해야 합니다.
계정 액세스 강제 적용
도메인 제약조건을 위반하여 프로젝트에 대한 계정 액세스를 강제로 적용해야 하는 경우 다음 방법을 사용하세요.
도메인 제한 제약조건을 포함하는 조직 정책을 삭제합니다.
프로젝트에 대한 액세스 권한을 계정에 부여합니다.
도메인 제한 제약조건으로 조직 정책을 다시 구현합니다.
또는 관련 서비스 계정이 포함된 Google 그룹에 대한 액세스 권한을 부여할 수 있습니다.
허용 도메인 내에 Google 그룹을 만듭니다.
Google Workspace 관리자 패널을 사용하여 해당 그룹에 대한 도메인 제한을 중지합니다.
서비스 계정을 그룹에 추가합니다.
IAM 정책에서 Google 그룹에 대한 액세스 권한을 부여합니다.
Pub/Sub를 Google Chat 앱의 엔드포인트로 사용합니다.
제한된 도메인 공유 제약조건이 사용 설정된 경우 Google Chat API 서비스 계정에 주제에 대한 게시 권한을 부여하려고 시도할 때 작업이 차단될 수 있습니다. 계정 액세스를 강제하는 프로세스를 따릅니다.