如果您是新客户，Google Cloud 会自动为您 组织资源：
- 您网域中的用户首次登录。
- 用户创建了一个没有关联的组织资源的结算账号。
此组织资源的默认配置（以无限制的访问权限为特征）可能会使基础架构容易遭到安全漏洞的侵害。例如，默认服务账号密钥创建是一个严重漏洞，会使系统面临潜在的入侵风险。
采用默认的组织政策强制执行时，不安全 安全状况通过一系列强制执行的组织政策来解决 在创建组织资源时指定。这些违规处置措施的示例包括停用服务账号密钥创建功能和停用服务账号密钥上传功能。
当现有用户创建组织时， 新组织资源可能与现有组织资源不同。 系统会对 2024 年 5 月 3 日当天或之后创建的所有组织强制执行“从设计上保证安全”组织政策。在 2024 年 2 月期间创建的一些组织 和 2024 年 4 月时可能也会设置这些默认的强制措施。如需查看应用于贵组织的组织政策，请参阅查看组织政策。
作为管理员，如果出现以下情况，这些组织政策将 那么系统会自动实施强制措施：
- Google Workspace 或 Cloud Identity 账号：如果您拥有 Google Workspace 或 Cloud Identity 账号后，系统会创建一个组织资源， 与您的网域相关联的电子邮件地址。系统会自动对组织资源强制执行“原生安全性”组织政策。
- 结算账号创建：您创建的结算账号未关联 组织资源，那么系统会自动创建 创建。系统会对组织资源强制执行默认安全的组织政策。此场景适用于 Google Cloud 控制台和 gcloud CLI。
所需权限
Identity and Access Management 角色 roles/orgpolicy.policyAdmin 可让管理员管理组织政策。您必须是组织政策管理员才能更改或替换组织政策。如需授予该角色，请运行以下命令：
gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE
替换以下内容：
ORGANIZATION：贵组织的唯一标识符。PRINCIPAL：要为其添加绑定的主账号。此项应为 采用user|group|serviceAccount:email或domain:domain格式。例如user:222larabrown@gmail.com。ROLE：要授予主账号的角色。使用 预定义角色。在本例中，它应为roles/orgpolicy.policyAdmin。
对组织资源强制执行组织政策
下表列出了 系统会在您创建组织资源时自动强制执行此设置。
| 组织政策名称 | 组织政策限制条件 | 说明 | 违规处置的影响 |
|---|---|---|---|
| 停用服务账号密钥创建功能 | constraints/iam.disableServiceAccountKeyCreation |
阻止用户为服务账号创建永久性密钥。如需了解如何管理服务账号密钥，请参阅提供创建服务账号的替代方案。 | 降低服务账号凭据遭泄露的风险。 |
| 停用服务账号密钥上传功能 | constraints/iam.disableServiceAccountKeyUpload |
阻止将外部公钥上传到服务账号。如需了解如何在没有服务账号密钥的情况下访问资源，请参阅这些最佳实践。 | 降低服务账号凭据遭泄露的风险。 |
| 停用对默认服务账号的自动角色授予功能 | constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
防止默认服务账号在创建时获得权限过高的 IAM 角色 Editor。 |
Editor 角色允许服务账号为大多数 Google Cloud 服务创建和删除资源，如果服务账号被盗用，这会造成漏洞。 |
| 按网域限制身份 | constraints/iam.allowedPolicyMemberDomains |
将资源共享限制为属于特定组织资源的身份。 | 允许其他域上的操作者访问组织资源 这样便会导致漏洞 |
| 按网域限制联系人 | constraints/essentialcontacts.allowedContactDomains |
将重要联系人限制为仅允许所选网域中受管理的用户身份接收平台通知。 | 系统可能会将使用其他网域的恶意行为者添加为重要联系人，导致安全状况受到损害。 |
| 统一存储桶级访问权限 | constraints/storage.uniformBucketLevelAccess |
阻止 Cloud Storage 存储分区使用对象 ACL（一个独立于 IAM 政策的系统）来提供访问权限。 | 强制执行访问权限管理和审核的一致性。 |
| 默认使用可用区级 DNS | constraints/compute.setNewProjectDefaultToZonalDNSOnly |
设置限制，使应用开发者无法为 Compute Engine 实例选择全局 DNS 设置。 | 与可用区 DNS 设置相比，全局 DNS 设置的服务可靠性较低。 |
| 根据 IP 地址类型限制协议转发 | constraints/compute.restrictProtocolForwardingCreationForTypes |
仅限制内部 IP 地址的协议转发配置。 | 防止目标实例暴露给外部流量。 |
管理组织政策的执行
您可以通过以下方式管理组织政策的强制执行情况：
列出组织政策
如需检查您的组织是否强制执行了默认安全的组织政策， 请使用以下命令：
gcloud resource-manager org-policies list --organization=ORGANIZATION_ID
将 ORGANIZATION_ID 替换为组织的唯一标识符。
停用组织政策
如需停用或删除组织政策，请运行以下命令：
gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID
替换以下内容：
CONSTRAINT_NAME是组织政策的名称 要删除的限制条件。示例见iam.allowedPolicyMemberDomains。ORGANIZATION_ID是贵组织的唯一标识符。
为组织政策添加或更新值
如需为组织政策添加或更新值，您需要将值存储在 YAML 文件中。 此文件的内容大致如下例所示：
{
"name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
"spec": {
"rules": [
{
"values": {
"allowedValues": ["VALUE_A"]
}
}
]
}
}
如需添加或更新 YAML 文件中列出的这些值，请运行以下命令：
gcloud org-policies set-policy POLICY_FILE
将 POLICY_FILE 替换为包含组织政策值的 YAML 文件的路径。