此页面由 Cloud Translation API 翻译。

管理默认安全的组织资源

如果您是新客户，Google Cloud 会自动为您组织资源：

您网域中的用户首次登录。
用户创建了没有关联组织的结算账号资源。

此组织资源的默认配置，特点是不受限制使基础设施容易受到安全漏洞的影响。对于例如，默认服务账号密钥的创建使系统面临潜在的漏洞。

采用默认的组织政策强制执行时，不安全安全状况通过一系列强制执行的组织政策来解决在创建组织资源时指定。违规处置示例包括停用服务账号密钥创建和停用服务账号密钥上传功能。

当现有用户创建组织时，新组织资源可能与现有组织资源不同。已针对所有组织强制执行默认安全的组织政策创建日期为 2024 年 5 月 3 日或之后创建的。在 2024 年 2 月期间创建的一些组织和 2024 年 4 月时可能也会设置这些默认的强制措施。查看组织政策，请参阅查看组织政策。

作为管理员，如果出现以下情况，这些组织政策将系统会自动实施强制措施：

Google Workspace 或 Cloud Identity 账号：如果您拥有 Google Workspace 或 Cloud Identity 账号后，系统会创建一个组织资源，与您的网域相关联的电子邮件地址。默认安全的组织政策自动对组织资源强制执行。
结算账号创建：您创建的结算账号未关联组织资源，那么系统会自动创建创建。默认情况下，系统会在组织资源。此场景同时适用于 Google Cloud 控制台和 gcloud CLI。

所需权限

Identity and Access Management 角色 roles/orgpolicy.policyAdmin 可让管理员管理组织政策。您必须是组织政策管理员来更改或覆盖组织政策。如需授予该角色，请运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

替换以下内容：

ORGANIZATION：贵组织的唯一标识符。
PRINCIPAL：要为其添加绑定的主账号。此项应为采用 user|group|serviceAccount:email 或 domain:domain 格式。例如 user:222larabrown@gmail.com。
ROLE：要授予主账号的角色。使用预定义角色。在本例中，它应为 roles/orgpolicy.policyAdmin。

对组织资源强制执行组织政策

下表列出了系统会在您创建组织资源时自动强制执行此设置。

组织政策名称	组织政策限制条件	说明	违规处置的影响
停用服务账号密钥创建功能	`iam.disableServiceAccountKeyCreation`	禁止用户为服务账号创建永久性密钥。如需了解如何管理服务账号密钥，请参阅提供创建服务账号密钥的替代方案。	降低服务账号凭据遭泄露的风险。
停用服务账号密钥上传功能	`iam.disableServiceAccountKeyUpload`	阻止将外部公钥上传到服务账号。如需了解如何在没有服务账号密钥的情况下访问资源，请参阅这些最佳实践。	降低服务账号凭据遭泄露的风险。
停用向默认服务账号自动授予角色的功能	`iam.automaticIamGrantsForDefaultServiceAccounts`	防止默认服务账号在创建时获得权限过于宽松的 IAM 角色 `Editor`。	`Editor` 角色允许服务账号为大多数 Google Cloud 服务创建和删除资源，如果服务账号被盗用，这会造成漏洞。
按网域限制身份	`iam.allowedPolicyMemberDomains`	仅限属于特定组织资源的身份共享资源。	允许具有其他域的人员访问组织资源这样便会导致漏洞
按网域限制联系人	`essentialcontacts.allowedContactDomains`	将重要联系人限制为仅允许所选网域中受管理的用户身份接收平台通知。	其他网域的不良行为者可能会被添加为重要联系人，从而导致安全状况受到损害。
统一存储桶级访问权限	`storage.uniformBucketLevelAccess`	阻止 Cloud Storage 存储分区使用对象 ACL（一个独立于 IAM 政策的系统）来提供访问权限。	对访问权限管理和审核强制执行一致性。
默认使用可用区级 DNS	`compute.setNewProjectDefaultToZonalDNSOnly`	设置限制，使应用开发者无法为 Compute Engine 实例选择全局 DNS 设置。	全局 DNS 设置的服务可靠性低于可用区级 DNS 设置。

管理组织政策的执行

您可以通过以下方式管理组织政策的强制执行情况：

列出组织政策

如需检查您的组织是否强制执行了默认安全的组织政策，请使用以下命令：

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为您的组织的唯一标识符。

停用组织政策

如需停用或删除组织政策，请运行以下命令：

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

替换以下内容：

CONSTRAINT_NAME 是组织政策的名称要删除的限制条件。例如 iam.allowedPolicyMemberDomains。
ORGANIZATION_ID 是贵组织的唯一标识符。

为组织政策添加或更新值

如需为组织政策添加或更新值，您需要将值存储在 YAML 文件中。此文件的内容可能如下所示：

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

如需添加或更新 YAML 文件中列出的这些值，请运行以下命令：

gcloud org-policies set-policy POLICY_FILE

将 POLICY_FILE 替换为包含组织政策的值