Nesta página, você terá uma visão geral da restrição da política da organização Restringir o uso de serviços de recursos, que permite aos administradores corporativos controlar quais serviços do Google Cloud podem ser usados dentro da hierarquia de recursos do Google Cloud. Essa restrição só pode ser aplicada em serviços com recursos descendentes diretos de uma organização, pasta ou recurso do projeto. Por exemplo, Compute Engine e Cloud Storage.
A restrição Restrict Resource Service Usage exclui e não funciona com alguns serviços que são dependências essenciais de produtos do Google Cloud, como Identity and Access Management (IAM), Cloud Logging e Cloud Monitoring. Para ver a lista de serviços de recursos da nuvem compatíveis com essa restrição, consulte Como restringir serviços compatíveis com o uso de recursos.
Os administradores podem usar essa restrição para definir restrições hierárquicas em
serviços de recursos permitidos do Google Cloud em um contêiner de recursos,
como uma organização, uma pasta ou um projeto. Por exemplo, permita
storage.googleapis.com no projeto X ou negue compute.googleapis.com
na pasta Y.
A restrição Restringir o uso do serviço de recurso pode ser usada de duas formas mutuamente exclusivas:
Lista de bloqueio: recursos de qualquer serviço que não tenha sido negado são permitidos.
Lista de permissões: os recursos de qualquer serviço que não seja permitido são negados.
A restrição Restringir o uso do serviço de recurso controla o acesso ao ambiente de execução para todos os recursos no escopo. Quando a política da organização que contém essa restrição é atualizada, ela se aplica imediatamente a todos os acessos a todos os recursos no escopo da política, com consistência posterior.
Recomendamos que os administradores gerenciem com atenção as atualizações das políticas da organização que contêm essa restrição. É possível lançar essa alteração de política com mais segurança usando tags para aplicar a restrição condicionalmente. Para mais informações, consulte Como configurar uma política da organização com tags.
Quando um serviço é restrito por essa política, alguns serviços do Google Cloud que têm uma dependência direta do serviço restrito também serão restritos. Isso se aplica apenas aos serviços que gerenciam os mesmos recursos do cliente. Por exemplo, o Google Kubernetes Engine (GKE) depende do Compute Engine. Quando o Compute Engine é restrito, o GKE também é restrito.
Como usar a restrição "Restringir o uso do serviço de recurso"
As restrições da política da organização podem ser definidas no nível da organização, da pasta e do projeto. Cada política se aplica a todos os recursos na hierarquia correspondente, mas pode ser substituída em níveis inferiores na hierarquia de recursos.
Para mais informações sobre avaliação de política, consulte Noções básicas sobre avaliação de hierarquia.
Como definir a política da organização
Para definir, alterar ou excluir uma política da organização, você precisa ter o papel Administrador da Política da organização.
Console
Para definir uma política da organização que inclua uma restrição Restringir o uso do serviço de recurso, faça o seguinte:
- Acesse a página "Políticas da organização" no Console do Google Cloud.
Acessar as políticas da organização
No seletor de projetos, na parte superior da tela, escolha o recurso para o qual você quer definir a política.
Na tabela de políticas da organização, selecione Restringir o uso do serviço de recurso.
Clique em Editar.
Em É aplicável a, selecione Personalizar.
Em Aplicação da política, escolha como aplicar a herança a essa política.
Se você quiser herdar a política da organização do recurso pai e mesclá-lo com este, selecione Mesclar com pai.
Se você quiser modificar as políticas da organização existentes, selecione Substituir.
Em Valores da política, selecione Personalizada.
Em Tipo de política, selecione Negar para a lista de proibições ou Permitir para a lista de permissões.
Em Valores personalizados, adicione o serviço que você quer bloquear ou permitir à lista.
Por exemplo, para bloquear o Cloud Storage, insira
storage.googleapis.com.Para adicionar mais serviços, clique em Novo valor da política.
No lado direito da página, revise o resumo da política.
Para aplicar a política, clique em Salvar.
gcloud
As políticas da organização podem ser definidas com a Google Cloud CLI. Para aplicar uma política da organização que inclua a restrição Restrict Resource Service Usage, primeiro crie um arquivo YAML com a política a ser atualizada:
$ cat /tmp/policy.yaml
constraint: constraints/gcp.restrictServiceUsage
list_policy:
denied_values:
- file.googleapis.com
- bigquery.googleapis.com
- storage.googleapis.com
Para definir essa política em um recurso, execute o seguinte comando :
gcloud beta resource-manager org-policies set-policy \
--project='PROJECT_ID' /tmp/policy.yaml
Em que:
- PROJECT_ID é o ID do projeto do recurso ao qual você quer aplicar essa política da organização.
Para saber mais sobre o uso de restrições nas políticas da organização, consulte Usando restrições.
Mensagem de erro
Se você definir uma política da organização para negar o serviço A na hierarquia do recurso B, quando um cliente tentar usar o serviço A na hierarquia do recurso B, a operação falhará. Um erro é retornado descrevendo o motivo dessa falha. Além disso, uma entrada AuditLog é gerada para monitoramento, alerta ou depuração.
Exemplo de mensagem de erro
Request is disallowed by organization's constraints/gcp.restrictServiceUsage constraint for projects/PROJECT_ID attempting to use service storage.googleapis.com.
Exemplo de registros de auditoria do Cloud
