範圍政策是存取權政策，範圍限定於特定資料夾或專案，可與套用至整個組織的存取權政策並用。您可以使用範圍政策，將 VPC Service Controls perimeter 和存取層級的管理權委派給資料夾層級和專案層級管理員。
組織在組織層級只能有一項存取權政策，您可以將組織層級的存取權政策套用至組織中的任何資料夾或專案。
在某些情況下，您可能需要將組織部分資源 (例如資料夾) 的政策管理權限，委派給委派管理員。您可以建立適用於整個組織的存取權政策，以及適用於特定資料夾或專案的存取權政策。如要將 VPC Service Controls perimeter 和存取層級的管理權委派給資料夾層級和專案層級管理員，可以使用範圍政策。
委派範圍政策的管理權限後，委派管理員可以修改或讀取該特定政策，但無法修改或讀取組織的 Access Context Manager 政策。範圍政策會限制 VPC Service Controls perimeter 中可限制的資源，以及任何存取層級的瀏覽權限。
管理範圍政策
組織層級的 Access Context Manager 管理員可以建立、修改及刪除範圍政策。您可以直接在 Access Context Manager 政策中指定 Identity and Access Management (IAM) 繫結，並進一步將 Access Context Manager 政策管理權限委派給組織中的其他使用者。範圍政策管理員可以設定政策中的 service perimeter 和存取層級。不過，範圍政策管理員無法建立新政策，也無法變更政策範圍，將政策套用至其他資料夾或專案。
以下是管理員管理範圍政策的順序：
組織層級管理員建立新的存取權政策，並在範圍欄位中參照特定資料夾或專案。
組織層級管理員會直接在存取權政策資源上，將 IAM 權限指派給委派管理員。委派管理員現在具備範圍政策的權限，但沒有任何其他政策的權限，除非組織層級管理員明確指派給委派管理員。
委派管理員現在可以編輯政策，設定存取層級和 service perimeter。委派管理員也可以將該政策的 IAM 權限授予其他使用者。
刪除資料夾或專案時，以該資料夾或專案為範圍的政策也會一併刪除。此外，如果您將專案移至組織階層中的其他節點，系統不會自動修改專案範圍內的政策。您必須刪除與專案相關聯的政策，然後重新建立政策並指定範圍。
範圍政策階層
機構資源是 Google Cloud 資源階層的根節點，屬於機構的所有資源都是機構節點的子項。資料夾是專案之上的分組機制。資料夾和專案是組織資源的子節點。
下圖顯示一個範例組織，其中包含各部門的資料夾，而資料夾中包含開發、測試和正式環境專案。
在範例組織中，下列限制適用於範圍政策中的 service perimeter 或存取層級：
範圍政策中的 service perimeter 只能限制該政策範圍內的資源。舉例來說，如果政策範圍限定為工程資料夾，則該政策中的 service perimeter 可以保護 example-dev、example-prod 和 example-test 專案，因為這些專案位於工程資料夾中。
如果範圍限定政策套用至 sales 資料夾，該政策中的 service perimeter 就無法保護 example-dev、example-prod 和 example-test 專案。不過，範圍政策中的 service perimeter 可使用輸入和輸出規則，允許存取其他資料夾中的專案。
範圍政策中的存取層級只會顯示在政策範圍內。如果您在範圍設為工程資料夾的政策中建立存取層級，則只有工程資料夾中的 service perimeter 和存取層級可以使用該存取層級。其他資料夾中的 service perimeter 和存取層級，無法使用工程資料夾中定義的存取層級。
example.com 組織資源階層中的位置 (例如資料夾) 可以有多項政策，其中包含存取層級或 service perimeter。如果有多項政策，系統會根據下列規則，評估 example.com 機構中的資源要求：
一項政策只能包含一個範圍 (例如資料夾)，但您可以為組織的每個層級建立政策。舉例來說，如果政策 1 的範圍是工程資料夾，您就無法將工程資料夾設為任何其他政策的範圍。您可以設定另一項政策，並將範圍設為工程資料夾的子項，例如 example-prod。
如果政策範圍適用於專案或專案的上層，您就可以將專案新增至政策。不過，在所有政策中，專案只能屬於一個 service perimeter。舉例來說，如果政策的範圍設為 example.com 組織，則可使用 example-dev 定義 service perimeter。如果政策的範圍設為工程資料夾或 example-dev 專案，也可以將 example-dev 專案新增至其中任一項定義的 perimeter。不過，這三項政策中只有一項可以包含這項專案。