Einschränkungen verwenden

In dieser Anleitung wird erläutert, wie eine Organisationsrichtlinie mit einer bestimmten Einschränkung erstellt wird. Die in den Beispielen auf dieser Seite verwendeten Einschränkungen sind keine tatsächlichen Einschränkungen, sondern allgemeine Beispiele zu Bildungszwecken.

Weitere Informationen zu Einschränkungen und den Problemen, die damit gelöst werden können, finden Sie in der Liste aller Einschränkungen für Organisationsrichtliniendienste.

Vorbereitung

Organisationsrichtlinienadministrator hinzufügen

Sie benötigen die Rolle Administrator der Organisation, um einen Nutzer als Administrator für Unternehmensrichtlinien hinzuzufügen. Diese Rolle kann nur auf Organisationsebene erteilt werden. Sie benötigen die Rolle Administrator für Unternehmensrichtlinien, um Organisationsrichtlinien festzulegen oder zu ändern.

Console

So fügen Sie einen Organisationsrichtlinienadministrator hinzu:

  1. Melden Sie sich in der Google Cloud Console als Super Admin für Google Workspace oder Cloud Identity an und rufen Sie die Seite IAM & Verwaltung auf:

    Zur Seite "IAM & Verwaltung"

  2. Wählen Sie die Organisation aus, die Sie bearbeiten möchten:

    1. Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.

    2. Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste der Organisation und wählen Sie die Organisation aus, der Sie einen Organisationsrichtlinienadministrator hinzufügen möchten.

    3. Klicken Sie in der angezeigten Liste auf die Organisation, um die Seite IAM-Berechtigungen zu öffnen.

  3. Klicken Sie auf Hinzufügen und geben Sie die E-Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Administrator für Organisationsrichtlinien festlegen möchten.

  4. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Unternehmensrichtlinien > Administrator für Unternehmensrichtlinien aus.

  5. Klicken Sie auf Speichern. Es wird ein Dialogfeld angezeigt, in dem Sie das Einfügen oder Aktualisieren der neuen Rolle des Mitglieds bestätigen.

gcloud

Sie können mit den gcloud-Befehlen JSON- oder YAML-Dateien verwenden. In diesem Beispiel wird JSON verwendet.

So fügen Sie einen Organisationsrichtlinienadministrator zu Ihrer Organisation hinzu:

  1. Rufen Sie die IAM-Richtlinie ab, die Sie ändern möchten, und schreiben Sie sie in eine JSON-Datei:
      gcloud organizations get-iam-policy ORGANIZATION_ID \
         --format json > JSON_FILE
      
  2. Der Inhalt der JSON-Datei sieht in etwa folgendermaßen aus. Beachten Sie, dass das Versionsfeld schreibgeschützt ist; Sie müssen es also nicht ausfüllen.
  3.    {
           "bindings": [
           {
               "members": [
                 "user:email1@gmail.com"
               ],
               "role": "roles/owner"
           },
           {
               "members": [
                 "serviceAccount:our-project-123@appspot.gserviceaccount.com",
                 "serviceAccount:123456789012-compute@developer.gserviceaccount.com"
               ],
               "role": "roles/editor"
           }
           ],
           "etag": "BwUjMhCsNvY=",
           "version": 1
       }
       
    Dabei ist JSON_FILE der Pfad zur JSON-Datei mit Ihrer IAM-Richtlinie. Zum Beispiel "iam.json".
  4. Fügen Sie dem Array bindings ein neues Objekt hinzu. Damit werden die Gruppenmitglieder und die Rolle für diese Mitglieder definiert. Wenn Sie zum Beispiel dem Nutzer email2@gmail.com die Rolle roles/orgpolicy.policyAdmin gewähren möchten, ändern Sie so das oben gezeigte Beispiel:
  5.    {
         "bindings": [
         {
           "members": [
             "user:email1@gmail.com"
           ],
         "role": "roles/owner"
         },
         {
           "members": [
             "serviceAccount:our-project-123@appspot.gserviceaccount.com",
             "serviceAccount:123456789012-compute@developer.gserviceaccount.com"
           ],
           "role": "roles/editor"
         },
         {
           "members": [
             "user:email2@gmail.com"
           ],
           "role": "roles/orgpolicy.policyAdmin"
         }
         ],
         "etag": "BwUjMhCsNvY="
       }
       
  6. Aktualisieren Sie die Richtlinie der Organisation, indem Sie den folgenden Befehl ausführen:
  7.    gcloud organizations set-iam-policy ORGANIZATION_ID iam.json
       
  8. Der Befehl gibt die aktualisierte Richtlinie aus:
       bindings:
         - members:
           - user:email1@gmail.com
             role: roles/owner
         - members:
           - serviceAccount:our-project-123@appspot.gserviceaccount.com
           - serviceAccount:123456789012-compute@developer.gserviceaccount.com
             role: roles/editor
         - members:
           - user:email2@gmail.com
             role: roles/orgpolicy.policyAdmin
         etag: BwUjMhXbSPU=
         version: 1
       

Listeneinschränkungen mit einer Organisationsrichtlinie verwenden

Durchsetzung für die Organisationsressource einrichten

Sie können für die Organisationsressource eine Organisationsrichtlinie festlegen, die mit einer Listeneinschränkung den Zugriff auf einen bestimmten Dienst verweigert. Im folgenden Prozess wird beschrieben, wie Sie eine Organisationsrichtlinie mithilfe des gcloud-Befehlszeilentools festlegen. Anleitungen zum Aufrufen und Festlegen von Organisationsrichtlinien mithilfe der Cloud Console finden Sie unter Richtlinien erstellen und verwalten.

v2 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab. Dieser Befehl gibt die Richtlinie zurück, die direkt auf diese Ressource angewendet wurde:

    gcloud org-policies describe \
      LIST_CONSTRAINT --organization=ORGANIZATION_ID
    

    Wobei:

    • ORGANIZATION_ID ist eine eindeutige Kennzeichnung für die Organisationsressource. Organisations-ID ist als Dezimalzahl formatiert und darf keine führenden Nullen enthalten.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Die Antwort gibt die aktuelle Organisationsrichtlinie zurück, sofern vorhanden. Beispiel:

    name: projects/841166443394/policies/gcp.resourceLocations
    spec:
      etag: BwW5P5cEOGs=
      inheritFromParent: true
      rules:
      - condition:
          expression: resource.matchTagId("tagKeys/1111", "tagValues/2222")
        values:
          allowedValues:
          - in:us-east1-locations
      - condition:
          expression: resource.matchTag("123/env", "prod")
        values:
          allowedValues:
          - in:us-west1-locations
      - values:
          deniedValues:
          - in:asia-south1-locations
      updateTime: '2021-01-19T12:00:51.095Z'
    

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  2. Legen Sie die Richtlinie für die Organisation mit dem Befehl set-policy fest. Dadurch werden alle derzeit mit der Ressource verbundenen Richtlinien überschrieben.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
       spec:
           rules:
             - values:
               deniedValues:
                 - VALUE_A
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud org-policies set-policy /tmp/policy.yaml
       

  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf: Dadurch wird die Organisationsrichtlinie zurückgegeben, da sie an dieser Stelle der Ressourcenhierarchie mit Berücksichtigung der Übernahme überprüft wird.

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization=ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - values:
            deniedValues:
            - VALUE_A
    

    Da diese Organisationsrichtlinie auf Organisationsebene festgelegt wurde, wird sie von allen untergeordneten Ressourcen, für die eine Richtlinienübernahme möglich ist, übernommen.

v1 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --organization ORGANIZATION_ID
    

    Wobei:

    • ORGANIZATION_ID ist eine eindeutige Kennzeichnung für die Organisationsressource. Organisations-ID ist als Dezimalzahl formatiert und darf keine führenden Nullen enthalten.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Da keine Richtlinie festgelegt wurde, wird eine unvollständige Richtlinie wie im folgenden Beispiel zurückgegeben:

    constraint: "constraints/LIST_CONSTRAINT"
    etag: BwVJi0OOESU=
    
  2. Verwenden Sie den Befehl deny, um den abgelehnten Wert für den Dienst hinzuzufügen, auf den nur noch ein eingeschränkter Zugriff möglich sein soll.

    gcloud resource-manager org-policies deny \
      LIST_CONSTRAINT VALUE_A \
      --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    etag: BwVJi0OOESU=
    listPolicy:
      deniedValues:
        - VALUE_A
    updateTime: CURRENT_TIME
    
  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      deniedValues:
        - VALUE_A
    

    Da diese Organisationsrichtlinie auf Organisationsebene festgelegt wurde, wird sie von allen untergeordneten Ressourcen, für die eine Richtlinienübernahme möglich ist, übernommen.

Erzwingung für eine Hierarchieunterstruktur einrichten

Listeneinschränkungen nehmen explizit definierte Werte an, um zu bestimmen, welche Ressourcen zugelassen oder abgelehnt werden sollen. Einige Einschränkungen können auch Werte akzeptieren, die das Präfix under: verwenden, welches eine Unterstruktur mit dieser Ressource als Root angibt. Wenn Sie das Präfix under: für einen zulässigen oder abgelehnten Wert verwenden, wirkt sich die Organisationsrichtlinie auf diese Ressource und alle untergeordneten Elemente aus. Informationen zu den Einschränkungen, die die Verwendung des Präfixes under: ermöglichen, finden Sie auf der Seite Einschränkungen für Organisationsrichtlinien.

Ein Wert, der das Präfix under: verwendet, wird als Hierarchie-Unterstrukturstring bezeichnet. Ein Hierarchie-Unterstrukturstring gibt den Typ der Ressource an, auf die sie angewendet wird. Wenn Sie beispielsweise den Unterstrukturstring projects/PROJECT_ID beim Festlegen der Einschränkung constraints/compute.storageResourceUseRestrictions verwenden, wird die Verwendung von Compute Engine-Speicher für PROJECT_ID und alle untergeordneten Elemente zugelassen oder abgelehnt.

Wertepräfixe für Hierarchieunterstrukturen sind eine Betafunktion und können so geändert werden, dass eine Abwärtskompatibilität nicht mehr gegeben ist. Sie unterliegen weder einem SLA noch einer Einstellungsrichtlinie.

v2 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab:

    gcloud org-policies describe \
      LIST_CONSTRAINT --organization=ORGANIZATION_ID
    

    Wobei:

    • ORGANIZATION_IDist eine eindeutige Kennzeichnung für die Organisationsressource.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  2. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest. Das Präfix under: legt die Einschränkung fest, mit der die angegebene Ressource und alle ihre untergeordneten Ressourcen abgelehnt werden.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
       spec:
           rules:
             - values:
                 deniedValues:
                   - under:folders/VALUE_A
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud org-policies set-policy /tmp/policy.yaml
       

    Wobei:

    • under: ist ein Präfix, das angibt, dass es sich um einen Unterstrukturstring handelt.

    • folders/VALUE_A ist die Ordner-ID der Stammressource, die abgelehnt werden soll. Diese Ressource und alle untergeordneten Elemente in der Ressourcenhierarchie werden abgelehnt.

    Sie können das Präfix under: auch wie in den folgenden Beispielen auf Organisationen und Projekte anwenden:

    • under:organizations/VALUE_X

    • under:projects/VALUE_Y

  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization=ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - values:
            deniedValues:
            - under:folders/VALUE_A
    

    Die Richtlinie führt jetzt eine Evaluierung durch, nach der der Ordner VALUE_A und alle untergeordneten Ressourcen abgelehnt werden.

v1 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --organization ORGANIZATION_ID
    

    Wobei:

    • ORGANIZATION_IDist eine eindeutige Kennzeichnung für die Organisationsressource.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Da keine Richtlinie festgelegt wurde, wird eine unvollständige Richtlinie wie im folgenden Beispiel zurückgegeben:

    constraint: "constraints/LIST_CONSTRAINT"
    etag: BwVJi0OOESU=
    
  2. Verwenden Sie den Befehl deny, um den abgelehnten Wert für den Dienst hinzuzufügen, auf den nur noch ein eingeschränkter Zugriff möglich sein soll. Das Präfix under: legt die Einschränkung fest, mit der die angegebene Ressource und alle ihre untergeordneten Ressourcen abgelehnt werden.

    gcloud resource-manager org-policies deny \
      LIST_CONSTRAINT under:folders/VALUE_A \
      --organization ORGANIZATION_ID
    

    Dabei gilt:

    • under: ist ein Präfix, das angibt, dass es sich um einen Unterstrukturstring handelt.

    • folders/VALUE_A ist die Ordner-ID der Stammressource, die Sie ablehnen möchten. Diese Ressource und alle untergeordneten Elemente in der Ressourcenhierarchie werden abgelehnt.

    • VALUE_B und VALUE_C sind Projekte in der Hierarchie, denen VALUE_A übergeordnet ist.

    Die Ausgabe des Befehls "deny" sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    etag: BwVJi0OOESU=
    listPolicy:
      deniedValues:
        - under:folders/VALUE_A
    updateTime: CURRENT_TIME
    

    Sie können das Präfix under: auch wie in den folgenden Beispielen auf Organisationen und Projekte anwenden:

    • under:organizations/VALUE_X

    • under:projects/VALUE_Y

  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      deniedValues:
        - under:folders/VALUE_A
    

    Die Richtlinie führt jetzt eine Evaluierung durch, nach der der Ordner VALUE_A und alle seine untergeordneten Ressourcen abgelehnt werden, in diesem Fall VALUE_B und VALUE_C.

Organisationsrichtlinie für ein Projekt zusammenführen

Sie können eine benutzerdefinierte Organisationsrichtlinie für eine Ressource festlegen. Diese wird dann mit einer beliebigen Richtlinie, die aus der übergeordneten Ressource übernommen wurde, zusammengeführt. Die zusammengeführte Richtlinie wird dann evaluiert, um eine neue geltende Richtlinie auf Grundlage der Regeln für die Übernahme zu erstellen.

v2 API

  1. Rufen Sie die aktuelle Richtlinie für die Ressource mit dem Befehl describe ab:

    gcloud org-policies describe \
      LIST_CONSTRAINT --project=PROJECT_ID
    

    Wobei:

    • PROJECT_ID ist die eindeutige Kennzeichnung des Projekts.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  2. Rufen Sie die aktuell geltende Richtlinie mit dem Befehl describe --effective auf:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
       --project=PROJECT_ID
    

    Die Ausgabe des Befehls enthält einen abgelehnten Wert, der aus der Organisationsressource übernommen wird:

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - values:
            deniedValues:
              - VALUE_A
    
  3. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
       spec:
           inheritFromParent: true
           rules:
             - values:
                 deniedValues:
                   - VALUE_B
                   - VALUE_C
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud org-policies set-policy /tmp/policy.yaml
       

  4. Verwenden Sie noch einmal den Befehl describe --effective, um die aktualisierte Richtlinie aufzurufen:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --project=PROJECT_ID
    

    Die Ausgabe des Befehls enthält das aktuelle Ergebnis der Richtlinienzusammenführung aus der Ressource und der übergeordneten Ressource:

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - values:
            deniedValues:
              - VALUE_A
              - VALUE_B
              - VALUE_C
    

v1 API

  1. Rufen Sie die aktuelle Richtlinie für die Ressource mit dem Befehl describe ab:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --project PROJECT_ID
    

    Wobei:

    • PROJECT_ID ist die eindeutige Kennzeichnung des Projekts.

    • LIST_CONSTRAINT ist die Listeneinschränkung für den Dienst, den Sie erzwingen möchten.

    Da keine Richtlinie festgelegt wurde, wird eine unvollständige Richtlinie wie im folgenden Beispiel zurückgegeben:

    constraint: "constraints/LIST_CONSTRAINT"
    etag: BwVJi0OOESU=
    
  2. Rufen Sie die aktuell geltende Richtlinie mit dem Befehl describe --effective auf:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
       --project PROJECT_ID
    

    Die Ausgabe des Befehls enthält einen abgelehnten Wert, der aus der Organisationsressource übernommen wird:

    constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      deniedValues:
        - VALUE_A
    
  3. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       constraint: constraints/LIST_CONSTRAINT
       listPolicy:
         deniedValues:
           - VALUE_B
           - VALUE_C
         inheritFromParent: true
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud resource-manager org-policies set-policy 
      --project PROJECT_ID /tmp/policy.yaml

    3. Die Ausgabe des Befehls sieht so aus:

       constraint: constraints/LIST_CONSTRAINT
       etag: BwVLO2timxY=
       listPolicy:
         deniedValues:
           - VALUE_B
           - VALUE_C
         inheritFromParent: true
       

  4. Verwenden Sie noch einmal den Befehl describe --effective, um die aktualisierte Richtlinie aufzurufen:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --project PROJECT_ID
    

    Die Ausgabe des Befehls enthält das aktuelle Ergebnis der Richtlinienzusammenführung aus der Ressource und der übergeordneten Ressource:

    constraint: constraints/LIST_CONSTRAINT
      listPolicy:
        deniedValues:
          - VALUE_A
          - VALUE_B
          - VALUE_C
    

Standardverhalten der Einschränkung wiederherstellen

Mit dem Befehl reset können Sie die Richtlinie zurücksetzen, um das Standardverhalten der Einschränkung zu verwenden. Eine Liste aller verfügbaren Einschränkungen und ihrer Standardwerte finden Sie unter Einschränkungen für Organisationsrichtlinien.Im folgenden Beispiel wird davon ausgegangen, dass das Standardverhalten der Einschränkung alle Werte zulässt.

v2 API

  1. Rufen Sie die geltende Richtlinie für das Projekt ab, um die aktuelle zusammengeführte Richtlinie anzuzeigen:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --project=PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - values:
            deniedValues:
              - VALUE_A
              - VALUE_B
              - VALUE_C
    
  2. Setzen Sie die Organisationsrichtlinie mit dem Befehl reset zurück.

    gcloud org-policies reset LIST_CONSTRAINT \
        --project=PROJECT_ID
    
  3. Rufen Sie die geltende Richtlinie ab, um das Standardverhalten zu überprüfen:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --project=PROJECT_ID
    

    In der Ausgabe des Befehls werden alle Werte zugelassen:

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - allowAll: true
    

v1 API

  1. Rufen Sie die geltende Richtlinie für das Projekt ab, um die aktuelle zusammengeführte Richtlinie anzuzeigen:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --project PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
      listPolicy:
        deniedValues:
          - VALUE_A
          - VALUE_B
          - VALUE_C
    
  2. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest.

    1. Erstellen Sie die temporäre Datei /tmp/restore-policy.yaml zum Speichern der Richtlinie:

       restoreDefault: {}
       constraint: constraints/LIST_CONSTRAINT
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud resource-manager org-policies set-policy 
      --project PROJECT_ID /tmp/restore-policy.yaml

    3. Die Ausgabe des Befehls sieht so aus:

       constraint: constraints/LIST_CONSTRAINT
       etag: BwVJi9D3VLY=
       restoreDefault: {}
       

  3. Rufen Sie die geltende Richtlinie ab, um das Standardverhalten zu überprüfen:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --project PROJECT_ID
    

    In der Ausgabe des Befehls werden alle Werte zugelassen:

    Constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      allValues: ALLOW
    

Organisationsrichtlinie löschen

Sie können eine Organisationsrichtlinie aus einer Ressource löschen. Eine Ressource, die keine Gruppe von Organisationsrichtlinien umfasst, übernimmt alle Richtlinien der übergeordneten Ressource. Wenn Sie die Organisationsrichtlinie für die Organisationsressource löschen, entspricht die geltende Richtlinie dem Standardverhalten der Einschränkung.

In den folgenden Schritten wird beschrieben, wie Sie eine Organisationsrichtlinie für eine Organisation löschen.

v2 API

  1. Löschen Sie die Richtlinie für die Organisationsressource mit dem Befehl delete:

    gcloud org-policies delete \
      LIST_CONSTRAINT --organization=ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID die eindeutige Kennzeichnung der Organisationsressource. Die Ausgabe des Befehls sieht folgendermaßen aus:

    Deleted policy
    [organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT].
    {}
    
  2. Rufen Sie die geltende Richtlinie für die Organisation ab, um sicherzustellen, dass sie nicht erzwungen wird:

    gcloud org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization=ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: organizations/ORGANIZATION_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - allowAll: true
    

In den folgenden Schritten wird beschrieben, wie eine Organisationsrichtlinie für ein Projekt gelöscht wird:

  1. Löschen Sie die Richtlinie für ein Projekt mit dem Befehl delete:

    gcloud org-policies delete \
      LIST_CONSTRAINT --project=PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    Deleted policy
    [projects/PROJECT_ID/policies/LIST_CONSTRAINT].
    {}
    
  2. Rufen Sie die geltende Richtlinie für das Projekt ab, um sicherzustellen, dass sie nicht erzwungen wird.

    gcloud org-policies describe \
      --effective \
      LIST_CONSTRAINT --project=PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: projects/PROJECT_ID/policies/LIST_CONSTRAINT
    spec:
      rules:
        - allowAll: true
    

v1 API

  1. Löschen Sie die Richtlinie für die Organisationsressource mit dem Befehl delete:

    gcloud resource-manager org-policies delete \
      LIST_CONSTRAINT --organization ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID die eindeutige Kennzeichnung der Organisationsressource. Die Ausgabe des Befehls sieht folgendermaßen aus:

    Deleted [<Empty>].
    
  2. Rufen Sie die geltende Richtlinie für die Organisation ab, um sicherzustellen, dass sie nicht erzwungen wird:

    gcloud resource-manager org-policies describe \
      LIST_CONSTRAINT --effective \
      --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      allValues: ALLOW
    

In den folgenden Schritten wird beschrieben, wie eine Organisationsrichtlinie für ein Projekt gelöscht wird:

  1. Löschen Sie die Richtlinie für ein Projekt mit dem Befehl delete:

    gcloud resource-manager org-policies delete \
      LIST_CONSTRAINT --project PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    Deleted [<Empty>].
    
  2. Rufen Sie die geltende Richtlinie für das Projekt ab, um sicherzustellen, dass sie nicht erzwungen wird.

    gcloud resource-manager org-policies describe \
      --effective \
      LIST_CONSTRAINT --project PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    constraint: constraints/LIST_CONSTRAINT
    listPolicy:
      allValues: ALLOW
    

Boolesche Einschränkungen in Organisationsrichtlinien verwenden

Durchsetzung für die Organisationsressource einrichten

Sie können eine Organisationsrichtlinie für Ihre Organisationsressource festlegen, um eine boolesche Einschränkung zu erzwingen. Im folgenden Verfahren wird beschrieben, wie Sie eine Organisationsrichtlinie mithilfe des gcloud-Befehlszeilentools festlegen. Anleitungen zum Aufrufen und Festlegen von Organisationsrichtlinien mithilfe der Cloud Console finden Sie unter Richtlinien erstellen und verwalten.

v2 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab:

    gcloud org-policies describe \
      BOOLEAN_CONSTRAINT --organization=ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID die eindeutige Kennzeichnung der Organisationsressource. Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  2. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       name: organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT
       spec:
         rules:
           - enforce: true
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud org-policies set-policy /tmp/policy.yaml
       

  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf:

    gcloud org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --organization=ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: organizations/ORGANIZATION_ID/policies/BOOLEAN_POLICY
    spec:
      rules:
        - enforce: true
    

v1 API

  1. Rufen Sie mit dem Befehl describe die aktuelle Richtlinie für die Organisationsressource ab:

    gcloud resource-manager org-policies describe \
      BOOLEAN_CONSTRAINT --organization ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID die eindeutige Kennzeichnung der Organisationsressource. Sie können die Organisationsrichtlinie mit dem Flag --folder oder --project und der entsprechenden Ordner-ID bzw. Projekt-ID auch auf einen Ordner oder ein Projekt anwenden.

    Da keine Richtlinie festgelegt wurde, wird eine unvollständige Richtlinie wie im folgenden Beispiel zurückgegeben:

    booleanPolicy: {}
    constraint: "constraints/BOOLEAN_CONSTRAINT"
    
  2. Legen Sie die Richtlinie, die für die Organisation erzwungen werden soll, mit dem Befehl enable-enforce fest:

    gcloud resource-manager org-policies enable-enforce \
      BOOLEAN_CONSTRAINT --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy:
      enforced: true
    constraint: constraints/BOOLEAN_CONSTRAINT
    etag: BwVJitxdiwY=
    
  3. Rufen Sie die aktuell geltende Richtlinie mit describe --effective auf:

    gcloud resource-manager org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy:
      enforced: true
    constraint: constraints/BOOLEAN_CONSTRAINT
    

Organisationsrichtlinie für ein Projekt überschreiben

Wenn Sie die Organisationsrichtlinie für ein Projekt überschreiben möchten, legen Sie eine Richtlinie fest, die die Erzwingung der booleschen Einschränkung für alle Ressourcen in der Hierarchie unter dem Projekt deaktiviert.

v2 API

  1. Rufen Sie die aktuelle Richtlinie für die Ressource ab, um zu zeigen, dass sie leer ist.

    gcloud org-policies describe \
      BOOLEAN_CONSTRAINT --project=PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  2. Rufen Sie die geltende Richtlinie für das Projekt ab, um zu bestätigen, dass die Einschränkung für dieses Projekt erzwungen wird.

    gcloud org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --project=PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: projects/PROJECT_ID/policies/BOOLEAN_POLICY
    spec:
      rules:
        - enforce: true
    
  3. Legen Sie die Richtlinie für das Projekt mit dem Befehl set-policy fest.

    1. Erstellen Sie die temporäre Datei /tmp/policy.yaml zum Speichern der Richtlinie:

       name: projects/PROJECT_ID/policies/BOOLEAN_CONSTRAINT
       spec:
         rules:
           - enforce: false
       

    2. Führen Sie den Befehl set-policy aus:

       gcloud org-policies set-policy /tmp/policy.yaml
       

  4. Rufen Sie die geltende Richtlinie ab, um zu zeigen, dass sie für das Projekt nicht mehr erzwungen wird.

    gcloud org-policies describe \
      --effective \
      BOOLEAN_CONSTRAINT --project=PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    name: organizations/ORGANIZATION_ID/policies/BOOLEAN_POLICY
    spec:
      rules:
        - enforce: false
    

v1 API

  1. Rufen Sie die aktuelle Richtlinie für die Ressource ab, um zu zeigen, dass sie leer ist.

    gcloud resource-manager org-policies describe \
      BOOLEAN_CONSTRAINT --project PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    booleanPolicy: {}
    constraint: "constraints/BOOLEAN_CONSTRAINT"
    
  2. Rufen Sie die geltende Richtlinie für das Projekt ab, um zu bestätigen, dass die Einschränkung für dieses Projekt erzwungen wird.

    gcloud resource-manager org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --project PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy:
      enforced: true
    constraint: constraints/BOOLEAN_CONSTRAINT
    
  3. Legen Sie mit dem Befehl disable-enforce fest, dass die Einschränkung in der Richtlinie für das Projekt nicht erzwungen wird:

    gcloud resource-manager org-policies disable-enforce \
      BOOLEAN_CONSTRAINT --project PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy: {}
    constraint: constraints/BOOLEAN_CONSTRAINT
    etag: BwVJivdnXvM=
    
  4. Rufen Sie die geltende Richtlinie ab, um zu zeigen, dass sie für das Projekt nicht mehr erzwungen wird.

    gcloud resource-manager org-policies describe \
      --effective \
      BOOLEAN_CONSTRAINT --project PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy: {}
    constraint: constraints/BOOLEAN_CONSTRAINT
    

Organisationsrichtlinie löschen

Sie können eine Organisationsrichtlinie aus einer Ressource löschen. Eine Ressource, die keine Gruppe von Organisationsrichtlinien umfasst, übernimmt alle Richtlinien der übergeordneten Ressource. Wenn Sie die Organisationsrichtlinie für die Organisationsressource löschen, entspricht die geltende Richtlinie dem Standardverhalten der Einschränkung.

In den folgenden Schritten wird beschrieben, wie Sie eine Organisationsrichtlinie für eine Organisation und ein Projekt löschen.

v2 API

  1. Löschen Sie die Richtlinie mit dem Befehl delete aus der Organisationsressource:

    gcloud org-policies delete \
      BOOLEAN_CONSTRAINT --organization=ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID eine eindeutige Kennzeichnung der Organisationsressource. Die Ausgabe des Befehls sieht folgendermaßen aus:

    Deleted policy
    [organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT].
    {}
    
  2. Rufen Sie die geltende Richtlinie für die Organisation ab, um sicherzustellen, dass sie nicht erzwungen wird:

    gcloud org-policies describe \
      --effective \
      BOOLEAN_CONSTRAINT --organization=ORGANIZATION_ID
    

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    
  3. Löschen Sie die Organisationsrichtlinie mithilfe des Befehls delete aus dem Projekt:

    gcloud org-policies delete \
      BOOLEAN_CONSTRAINT --project=PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    Deleted policy
    [organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT].
    {}
    
  4. Rufen Sie die geltende Richtlinie für das Projekt ab, um sicherzustellen, dass sie nicht erzwungen wird.

    gcloud org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --project=PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    Wenn keine Richtlinie festgelegt wurde, wird der Fehler NOT_FOUND zurückgegeben:

    ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
    

v1 API

  1. Löschen Sie die Richtlinie mit dem Befehl delete aus der Organisationsressource:

    gcloud resource-manager org-policies delete \
      BOOLEAN_CONSTRAINT --organization ORGANIZATION_ID
    

    Dabei ist ORGANIZATION_ID eine eindeutige Kennzeichnung der Organisationsressource. Die Ausgabe des Befehls sieht folgendermaßen aus:

    Deleted [<Empty>].
    
  2. Rufen Sie die geltende Richtlinie für die Organisation ab, um sicherzustellen, dass sie nicht erzwungen wird:

    gcloud resource-manager org-policies describe \
      --effective \
      BOOLEAN_CONSTRAINT --organization ORGANIZATION_ID
    

    Die Ausgabe des Befehls sieht so aus:

    booleanPolicy: {}
    constraint: constraints/BOOLEAN_CONSTRAINT
    
  3. Löschen Sie die Organisationsrichtlinie mithilfe des Befehls delete aus dem Projekt:

    gcloud resource-manager org-policies delete \
      BOOLEAN_CONSTRAINT --project PROJECT_ID
    

    Die Ausgabe des Befehls sieht so aus:

    Deleted [<Empty>].
    
  4. Rufen Sie die geltende Richtlinie für das Projekt ab, um sicherzustellen, dass sie nicht erzwungen wird.

    gcloud resource-manager org-policies describe \
      BOOLEAN_CONSTRAINT --effective \
      --project PROJECT_ID
    

    Dabei ist PROJECT_ID die eindeutige Kennzeichnung des Projekts. Die Ausgabe des Befehls sieht so aus:

    booleanPolicy: {}
    constraint: constraints/BOOLEAN_CONSTRAINT