이 페이지에서는 서비스 프로듀서가 Private Service Connect를 사용하는 프로듀서 조직 및 프로젝트에 대한 보안을 구현하는 방법을 설명합니다.
소비자 허용 목록을 사용하면 서비스 소유자는 개별 서비스 연결에 연결할 수 있는 네트워크나 프로젝트를 지정할 수 있습니다. 조직 정책은 서비스 연결에 대한 액세스 권한도 제어하지만, 네트워크 관리자가 조직의 모든 서비스 첨부파일에 대한 액세스 권한을 광범위하게 제어할 수 있습니다.
소비자 허용 목록과 조직 정책은 상호 보완적이며 함께 사용할 수 있습니다. 이 경우 Private Service Connect 연결은 이러한 두 가지 보안 메커니즘에서 모두 승인된 경우에만 생성됩니다.
역할
조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 조직 정책 관리자(roles/orgpolicy.policyAdmin) IAM 역할을 부여해 달라고 요청하세요.
역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.
compute.restrictPrivateServiceConnectConsumer목록 제약조건과 함께 조직 정책을 사용하여 Private Service Connect 서비스 연결에 연결할 수 있는 엔드포인트와 백엔드를 제어할 수 있습니다. 엔드포인트 또는 백엔드가 프로듀서 조직 정책에 의해 거부되면 리소스 생성은 성공하지만 연결이 거부된 상태로 전환됩니다.
PRODUCER_ORG: 소비자 Private Service Connect 액세스를 제어하려는 프로듀서 조직의 조직 ID입니다.
CONSUMER_ORG_NUMBER: 프로듀서 조직의 서비스 연결에 연결하도록 허용할 소비자 조직의 숫자 리소스 ID입니다.
프로젝트에서 서비스에 연결할 수 있는 추가 조직을 지정하려면 allowedValues 섹션에 추가 항목을 포함합니다.
조직 외에도 다음 형식으로 승인된 폴더 및 프로젝트를 지정할 수 있습니다.
under:folders/FOLDER_ID
FOLDER_ID는 숫자 ID여야 합니다.
under:projects/PROJECT_ID
PROJECT_ID는 문자열 ID여야 합니다.
예를 들어 다음 파일은 소비자가 허용된 값 또는 허용된 값의 하위 요소와 연결되지 않은 경우 Producer-org-1의 엔드포인트 또는 백엔드를 서비스 연결에 연결하지 못하도록 거부하는 조직 정책 구성을 보여줍니다. 허용된 값은 조직 Consumer-org-1, 프로젝트 Consumer-project-1, 폴더 Consumer-folder-1입니다.
소비자 허용 목록과 조직 정책 모두 두 Private Service Connect 리소스 간에 연결을 설정할 수 있는지 여부를 제어합니다. 허용 목록 또는 조직 정책이 연결을 거부하면 연결이 차단됩니다.
예를 들어 restrictPrivateServiceConnectConsumer 제약조건이 있는 정책은 프로듀서 조직 외부의 연결을 차단할 수 있습니다. 서비스 연결이 모든 연결을 자동으로 수락하도록 구성되어 있더라도 조직 정책은 프로듀서 조직 외부의 연결을 계속 차단합니다. 계층화된 보안을 제공하는 데 도움이 되려면 허용 목록과 조직 정책을 모두 사용하는 것이 좋습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-05(UTC)"],[],[],null,["# Manage security for Private Service Connect producers\n=====================================================\n\nThis page describes how service producers can implement security for producer\norganizations and projects that use Private Service Connect.\n\n*Consumer accept lists* let service owners specify networks or\nprojects that can connect to individual [service attachments](/vpc/docs/about-vpc-hosted-services#service-attachments). *Organization policies* also\ncontrol access to service attachments, but they let network\nadministrators broadly control access to all service attachments in an\norganization.\n\nConsumer accept lists and organization policies are complementary and\ncan be used together. In this case, a Private Service Connect\nconnection is only created if it is authorized by both of these security\nmechanisms.\n\nRoles\n-----\n\n\nTo get the permissions that\nyou need to manage organization policies,\n\nask your administrator to grant you the\n\n\n[Organization policy administrator](/iam/docs/roles-permissions/orgpolicy#orgpolicy.policyAdmin) (`roles/orgpolicy.policyAdmin`)\nIAM role on the organization.\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nYou might also be able to get\nthe required permissions through [custom\nroles](/iam/docs/creating-custom-roles) or other [predefined\nroles](/iam/docs/roles-overview#predefined).\n\nProducer organization policies\n------------------------------\n\nYou can use [organization policies](/resource-manager/docs/organization-policy/overview#organization_policy) with the\n`compute.restrictPrivateServiceConnectConsumer`\n[list constraint](/resource-manager/docs/organization-policy/using-constraints#list-constraint) to control which endpoints and backends can\nconnect to Private Service Connect service attachments. If an endpoint\nor backend is rejected by a producer organization policy, the creation of\nthe resource succeeds, but the connection enters the rejected state.\n\nFor more information, see [Producer-side organization policies](/vpc/docs/private-service-connect-security#producer-side-org-policies).\n\n### Reject connections from unauthorized endpoints and backends\n\n**Resources**: endpoints and backends \n\n### gcloud\n\n1. Create a temporary file called `/tmp/policy.yaml` to store the new\n policy. Add the following content to the file:\n\n name: organizations/\u003cvar translate=\"no\"\u003ePRODUCER_ORG\u003c/var\u003e/policies/compute.restrictPrivateServiceConnectConsumer\n spec:\n rules:\n - values:\n allowedValues:\n - under:organizations/\u003cvar translate=\"no\"\u003eCONSUMER_ORG_NUMBER\u003c/var\u003e\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePRODUCER_ORG\u003c/var\u003e: the [organization ID](/resource-manager/docs/creating-managing-organization#retrieving_your_organization_id) of the producer organization that you want to control consumer Private Service Connect access to.\n - \u003cvar translate=\"no\"\u003eCONSUMER_ORG_NUMBER\u003c/var\u003e: the numeric resource ID of the consumer organization that you want to let connect to service attachments in the producer organization.\n\n To specify additional organizations that can connect to service\n attachments in your project, include additional entries in the\n `allowedValues` section.\n\n In addition to organizations, you can specify authorized folders and\n projects in the following form:\n - `under:folders/`\u003cvar translate=\"no\"\u003eFOLDER_ID\u003c/var\u003e\n\n The \u003cvar translate=\"no\"\u003eFOLDER_ID\u003c/var\u003e must be the numeric ID.\n - `under:projects/`\u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e\n\n The \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e must be the string ID.\n\n For example, the following file shows an organization policy configuration\n that rejects connections from endpoints or backends to service\n attachments in `Producer-org-1` unless they are associated with an\n allowed value or a descendant of an allowed value. The allowed values\n are the organization `Consumer-org-1`, the project `Consumer-project-1`,\n and the folder `Consumer-folder-1`. \n\n name: organizations/Producer-org-1/policies/compute.restrictPrivateServiceConnectConsumer\n spec:\n rules:\n - values:\n allowedValues:\n - under:organizations/Consumer-org-1\n - under:projects/Consumer-project-1\n - under:folders/Consumer-folder-1\n\n2. Apply the policy.\n\n ```\n gcloud org-policies set-policy /tmp/policy.yaml\n ```\n3. View the policy that is in effect.\n\n ```\n gcloud org-policies describe compute.restrictPrivateServiceConnectConsumer \\\n --effective \\\n --organization=PRODUCER_ORG\n ```\n\nConsumer accept and reject lists\n--------------------------------\n\n**Resources**: endpoints and backends\n\nConsumer accept and reject lists are associated with service attachments. These\nlists let you explicitly accept or deny connections from consumer projects or\nnetworks.\n\nFor more information, see [Consumer accept and reject lists](/vpc/docs/private-service-connect-security#consumer-lists).\n\nInteraction between accept lists and organization policies\n----------------------------------------------------------\n\n\nBoth consumer accept lists and organization policies control whether a connection can\nbe established between two Private Service Connect resources. Connections are blocked\nif either an accept list or an organization policy denies the connection.\n\nFor example, a policy with the `restrictPrivateServiceConnectConsumer` constraint can\nbe configured to block connections from outside of the producer's organization. Even if a\nservice attachment is configured to automatically accept all connections, the organization\npolicy still blocks connections from outside of the producer's organization. We recommend\nusing both accept lists and organization policies together to help provide layered\nsecurity.\n\n\u003cbr /\u003e\n\nConfigure accept and reject lists\n---------------------------------\n\nFor information about how to create a new service attachment that has consumer\naccept or reject lists, see\n[Publish a service with explicit project approval](/vpc/docs/configure-private-service-connect-producer#publish-service-explicit).\n\nFor information about how to update consumer accept or reject lists, see\n[Manage requests for access to a published service](/vpc/docs/manage-private-service-connect-services#access)."]]
