Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Auf dieser Seite finden Sie einige gängige Beispiele für die Verwendung von Organisationseinschränkungen.
Zugriff nur auf Ihre Organisation beschränken
In diesem Beispiel arbeiten der Google Cloud -Administrator und der Administrator des ausgehenden Proxys der Organisation A zusammen, um den Zugriff der Mitarbeiter auf Ressourcen in ihrerGoogle Cloud -Organisation einzuschränken.
So schränken Sie den Zugriff auf Ihre Organisation ein:
Als Google Cloud Administrator können Sie die Google Cloud Organisations-ID von Organisation A mit dem Befehl gcloud organizations list abrufen:
gcloud organizations list
Die Beispielausgabe sieht so aus:
DISPLAY_NAME: Organization A
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
Nachdem Sie als Administrator des ausgehenden Proxys die Organisations-ID vom Google Cloud-Administrator erhalten haben, erstellen Sie die JSON-Darstellung für den Headerwert im folgenden Format:
Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie zum Codieren der Datei den folgenden basenc-Befehl aus:
Als Administrator des ausgehenden Proxys konfigurieren Sie den ausgehenden Proxy so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation A stammen:
Zugriff auf Ihre Organisation einschränken und Leseanfragen für Cloud Storage-Ressourcen zulassen
In diesem Beispiel arbeiten der Google Cloud Administrator und der Administrator des ausgehenden Proxys von Organisation A zusammen, um den Zugriff der Mitarbeiter auf Ressourcen in ihrerGoogle Cloud Organisation einzuschränken, mit Ausnahme von Leseanfragen an Cloud Storage-Ressourcen.
Administratoren können Leseanfragen an Cloud Storage-Ressourcen von der Durchsetzung von Organisationsbeschränkungen ausschließen, damit ihre Mitarbeiter auf externe Websites zugreifen können, die statische Inhalte mit Cloud Storage hosten. Der Administrator verwendet die Option cloudStorageReadAllowed, um Leseanfragen an Cloud Storage-Ressourcen zuzulassen.
So beschränken Sie den Zugriff auf Ihre Organisation und erlauben Leseanfragen für Cloud Storage-Ressourcen:
Als Google Cloud Administrator können Sie die Google Cloud Organisations-ID von Organisation A mit dem Befehl gcloud organizations list abrufen:
gcloud organizations list
Die Beispielausgabe sieht so aus:
DISPLAY_NAME: Organization A
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
Nachdem Sie als Administrator des ausgehenden Proxys die Organisations-ID vom Google Cloud-Administrator erhalten haben, erstellen Sie die JSON-Darstellung für den Headerwert im folgenden Format:
Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie zum Codieren der Datei den folgenden basenc-Befehl aus:
Als Administrator des ausgehenden Proxys konfigurieren Sie den ausgehenden Proxy so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation A stammen:
Die Mitarbeiter von Organisation A haben jetzt Zugriff auf ihre Google Cloud Organisation und Lesezugriff auf Cloud Storage-Ressourcen.
Mitarbeitern Zugriff auf eine Anbieterorganisation gewähren Google Cloud
In diesem Beispiel arbeiten der Google Cloud Administrator und der Administrator des ausgehenden Proxys von Organisation B zusammen, um Mitarbeitern Zugriff auf eine Google Cloud Kundenorganisation zusätzlich zu ihrer bestehenden Google Cloud Organisation zu ermöglichen.
So beschränken Sie den Mitarbeiterzugriff auf Ihre Organisation und die des Anbieters:
Als Google Cloud Administrator müssen Sie sich an den Anbieter wenden, um die Google CloudOrganisations-ID der Anbieterorganisation zu erhalten.
Wenn Sie als Administrator eines ausgehenden Proxys die Anbieterorganisations-ID zusätzlich zur vorhandenen Organisations-ID angeben möchten, müssen Sie die JSON-Darstellung für den Headerwert aktualisieren. Nachdem Sie die Anbieterorganisations-ID vom Google CloudAdministrator erhalten haben, aktualisieren Sie den Headerwert im folgenden Format:
Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie zum Codieren der Datei den folgenden basenc-Befehl aus:
Als Administrator des ausgehenden Proxys konfigurieren Sie den ausgehenden Proxy so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation B stammen:
Die Mitarbeiter von Organisation B haben jetzt Zugriff auf den Anbieter und ihre Google Cloud Organisationen.
Zugriff nur für Uploads einschränken
In diesem Beispiel arbeiten der Google Cloud -Administrator und der Administrator des ausgehenden Proxys von Organisation C zusammen, um den Uploadzugriff der Mitarbeiter auf Ressourcen in derGoogle Cloud -Organisation einzuschränken.
So schränken Sie den Uploadzugriff auf Ihre Organisation ein:
Als Google Cloud Administrator können Sie die Google Cloud Organisations-ID von Organisation C mit dem Befehl gcloud organizations list abrufen:
gcloud organizations list
Die Beispielausgabe sieht so aus:
DISPLAY_NAME: Organization C
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
Nachdem Sie als Administrator des ausgehenden Proxys die Organisations-ID vom Google Cloud-Administrator erhalten haben, erstellen Sie die JSON-Darstellung für den Headerwert im folgenden Format:
Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie zum Codieren der Datei den folgenden basenc-Befehl aus:
Als Administrator des ausgehenden Proxys konfigurieren Sie den ausgehenden Proxy so, dass der folgende Anfrageheader nur für Anfragen mit PUT-, POST- und PATCH-Methoden eingefügt wird, die von den verwalteten Geräten in Organisation C stammen:
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-04 (UTC)."],[],[],null,["# Examples of organization restrictions\n\nThis page describes several common examples of how to use organization restrictions.\n\nRestrict access only to your organization\n-----------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization A engage together to restrict employees to only access resources in their\nGoogle Cloud organization.\n\nTo restrict access only to your organization, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization A, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization A\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization A:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\nRestrict access to your organization and allow read requests to Cloud Storage resources\n---------------------------------------------------------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization A engage together to restrict employees to only access resources in their\nGoogle Cloud organization, except for read requests to Cloud Storage resources.\nAdministrators might want to omit read requests to Cloud Storage resources from\norganization restrictions enforcement to ensure that their employees can access\nexternal websites that use Cloud Storage to host static content. The administrator\nuses the `cloudStorageReadAllowed` option to allow read requests to Cloud Storage resources.\n\nTo restrict access only to your organization and allow read requests to Cloud Storage\nresources, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization A, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization A\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"cloudStorageReadAllowed\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization A:\n\n X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l\n\n The employees of Organization A now have access to their Google Cloud organization\n and read access to Cloud Storage resources.\n\nAllow employees access to a vendor Google Cloud organization\n------------------------------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization B engage together to allow employees to access a vendor Google Cloud organization\nin addition to their existing Google Cloud organization.\n\nTo restrict employee access only to your organization and the vendor organization, do the following:\n\n1. As a Google Cloud administrator, engage with the vendor to get the Google Cloud\n organization ID of the vendor organization.\n\n2. As an egress proxy administrator, to include the vendor organization ID in addition\n to the existing organization ID, you must update the JSON representation for\n the header value. After you get the vendor organization ID from the Google Cloud\n administrator, update the header value in the following format:\n\n {\n \"resources\": [\"organizations/1234\", \"organizations/3456\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization B:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K\n\n The employees of Organization B now have access to both the vendor and their Google Cloud organizations.\n\nRestrict access only for uploads\n--------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization C engage together to restrict upload access of employees only to resources in the\nGoogle Cloud organization.\n\nTo restrict upload access only to your organization, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization C, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization C\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted only for requests with PUT, POST, and PATCH methods\n originating from the managed devices in Organization C:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\nWhat's next\n-----------\n\n- Learn about the [services supported by organization restrictions](/resource-manager/docs/organization-restrictions/supported-services)."]]
