Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

커스텀 제약 조건을 사용하여 Contact Center AI Platform (CCAI Platform) 리소스 관리

Google Cloud 조직 정책을 사용하면 조직 리소스를 중앙에서 프로그래매틱 방식으로 제어할 수 있습니다. 조직 정책 관리자는 Google Cloud 리소스 계층 구조에서 Google Cloud 리소스와 해당 리소스의 하위 요소에 적용되는 제약 조건이라는 제한사항 집합인 조직 정책을 정의할 수 있습니다. 조직, 폴더 또는 프로젝트 수준에서 조직 정책을 적용할 수 있습니다.

조직 정책은 다양한Google Cloud 서비스에 대한 사전 정의된 제약 조건을 제공합니다. 그러나 조직 정책에서 제한되는 특정 필드를 보다 세부적으로 맞춤설정 가능한 방식으로 제어하려면 커스텀 제약조건을 만들면 됩니다. CCAI 플랫폼의 맞춤 제약 조건을 구현하려면 비공개 액세스를 위해 인스턴스를 구성해야 합니다. 이렇게 하면 해당 인스턴스의 공개 인터넷 액세스가 제한되므로 상담사, 관리자, CCAI Platform 관리자가 인스턴스에 액세스하려면 Private Service Connect를 설정해야 합니다. 자세한 내용은 Private Service Connect 설정을 참고하세요.

이점

CCAI Platform의 조직 정책을 사용하면 Google Cloud관리자가 VPC 서비스 제어에서 다루지 않는 네트워크 경로에 조직 전체 제약 조건을 적용할 수 있습니다. 또한 이러한 조직 정책은 네트워크 트래픽을 구성요소로 파티셔닝하여 인그레스 및 이그레스 경로를 세부적으로 제어할 수 있습니다. 자세한 내용은 구성요소를 참고하세요.

정책 상속

기본적으로 조직 정책은 정책을 적용하는 리소스의 하위 요소에 상속됩니다. 예를 들어 폴더에 정책을 적용하면 Google Cloud 가 폴더의 모든 프로젝트에 정책을 적용합니다. 이 동작 및 이를 변경하는 방법에 대한 자세한 내용은 계층 구조 평가 규칙을 참조하세요.

가격 책정

사전 정의된 조직 정책과 커스텀 조직 정책을 포함한 조직 정책 서비스는 무료로 제공됩니다.

제한사항

CCAI Platform은 Cloud 애셋 인벤토리와 통합되지 않으므로 정책 인텔리전스의 정책 시뮬레이터 기능을 CCAI Platform 조직 정책에 사용할 수 없습니다.

시작하기 전에

시작하기 전에 다음을 수행합니다.

CCAI Platform용 Google Cloud 프로젝트 설정하기의 단계를 따릅니다.
Google Cloud CLI를 설치하고 초기화하려면 다음 단계를 따르세요.
1. Google Cloud CLI를 설치합니다.
2. 외부 ID 공급업체(IdP)를 사용하는 경우 먼저 제휴 ID로 gcloud CLI에 로그인해야 합니다.
3. gcloud CLI를 초기화하려면, 다음 명령어를 실행합니다.
```
gcloud init
```
조직 ID를 알고 있어야 합니다.

필요한 역할

조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 다음의 IAM 역할을 부여해 달라고 요청합니다.

조직 리소스의 조직 정책 관리자 (roles/orgpolicy.policyAdmin)
CCAI Platform 리소스에 대한 전체 액세스 권한: 프로젝트 리소스에 대한 Contact Center AI Platform 관리자 (roles/contactcenteraiplatform.admin)
서비스 상태를 사용 설정, 중지, 검사하고 작업을 검사하고 소비자 프로젝트의 할당량과 결제를 사용할 수 있는 권한: 프로젝트 리소스에 대한 서비스 사용량 관리자 (roles/serviceusage.serviceUsageAdmin)

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이러한 사전 정의된 역할에는 조직 정책 관리에 필요한 권한이 포함되어 있습니다. 필수 권한 섹션을 펼치면 필요한 권한을 정확하게 확인할 수 있습니다.

필수 권한

조직 정책을 관리하려면 다음 권한이 필요합니다.

orgpolicy.customConstraints.get
orgpolicy.customConstraints.list
orgpolicy.customConstraints.create
orgpolicy.customConstraints.update
orgpolicy.customConstraints.delete

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

구성요소

CCAI Platform 인스턴스에서 맞춤 제약 조건을 만들 때 구성요소를 사용합니다. 구성요소는 특정 CCAI Platform 기능과 연결된 네트워크 경로의 추상화입니다. 예를 들어 agent 구성요소는 에이전트, 관리자 또는 CCAI Platform 관리자가 실행하는 작업과 관련된 모든 인그레스 네트워크 경로 그룹을 나타냅니다.

다음 표는 CCAI Platform 맞춤 제약 조건에 사용되는 구성요소를 보여줍니다.

구성요소	설명	트래픽 방향	예시 값
`AGENT`	에이전트, 관리자 또는 CCAI 플랫폼 관리자가 실행하는 작업과 관련된 모든 인그레스 네트워크 경로의 그룹입니다.	인그레스	`AGENT`
`CRM`	고객 관계 관리 (CRM) 앱으로 나가는 트래픽	이그레스	`CRM`
`MEDIA`	미디어 이그레스 트래픽	이그레스	`MEDIA`
`DIRECT_ACCESS_POINT`	직접 액세스 엔드포인트 (DAP)로의 이그레스 트래픽	이그레스	`DIRECT_ACCESS_POINT`
`EMAIL`	이메일 이그레스 트래픽	이그레스	`EMAIL`
`COBROWSE`	화면 공유 이그레스 트래픽	이그레스	`COBROWSE`

커스텀 제약 조건 만들기

커스텀 제약 조건은 조직 정책을 적용하는 서비스에서 지원되는 리소스, 메서드, 조건, 작업을 통해 YAML 파일에서 정의됩니다. 커스텀 제약조건의 조건은 Common Expression Language(CEL)를 사용하여 정의됩니다. CEL을 사용해서 커스텀 제약 조건에서 조건을 빌드하는 방법은 커스텀 제약 조건 만들기 및 관리의 CEL 섹션을 참고하세요.

CCAI Platform의 YAML 파일에서 커스텀 제약 조건을 정의하려면 다음 단계를 따르세요.

다음 줄이 포함된 텍스트 파일을 만듭니다.
```
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- contactcenteraiplatform.googleapis.com/ContactCenter
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION_TYPE
displayName: "DISPLAY_NAME"
description: "DESCRIPTION"
```
다음을 바꿉니다.
- ORGANIZATION_ID: 조직 ID입니다.
- CONSTRAINT_NAME: 커스텀 제약조건의 이름. 커스텀 제약 조건은 custom. 접두사로 시작해야 하며 대문자, 소문자 또는 숫자만 포함할 수 있습니다(예: custom.requirePrivateAccess). 이 필드의 최대 길이는 프리픽스를 제외하고 70자(영문 기준)입니다.
- CONDITION: 지원되는 서비스 리소스의 표현에 대해 작성된 CEL 조건입니다(예: resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT')). 이 필드의 최대 길이는 1,000자(영문 기준)입니다. 조건을 작성하는 데 사용할 수 있는 리소스에 대한 자세한 내용은 CCAI 플랫폼 지원 리소스 및 작업을 참고하세요. 구성요소에 관한 자세한 내용은 구성요소를 참고하세요.
- ACTION_TYPE: condition이 충족될 때 수행할 작업입니다. ALLOW를 지정합니다.
- DISPLAY_NAME: 제약조건에 대한 사용자 친화적인 이름. 이 필드의 최대 길이는 200자(영문 기준)입니다.
- DESCRIPTION: 정책을 위반할 때 오류 메시지로 표시할 제약조건에 대한 사용자 친화적인 설명입니다. 이 필드의 최대 길이는 2,000자(영문 기준)입니다.
커스텀 제약 조건을 YAML 파일로 저장합니다(예: customconstraint.yaml). 이 파일의 경로를 맞춤 제약 조건 설정에서 CONSTRAINT_PATH 변수의 값으로 사용합니다.

커스텀 조직 정책 및 제약 조건 구문에 대한 자세한 내용은 일반적인 사용 사례의 커스텀 조직 정책 예시를 참고하세요.

커스텀 제약조건 설정

콘솔

커스텀 제약 조건을 만들려면 다음을 수행합니다.

Google Cloud 콘솔에서 조직 정책 페이지로 이동합니다.
조직 정책으로 이동
프로젝트 선택 도구에서 조직 정책을 설정할 프로젝트를 선택합니다.
커스텀 제약조건을 클릭합니다.
표시 이름 상자에 인간이 읽을 수 있는 제약 조건 이름을 입력합니다. 이 이름은 오류 메시지에 사용되며 식별과 디버깅에 사용할 수 있습니다. 이 이름은 오류 메시지에 노출될 수 있으므로 표시 이름에 개인 식별 정보 (PII)나 민감한 정보를 사용하지 마세요. 이 필드는 최대 200자(영문 기준)까지 포함할 수 있습니다.
제약 조건 ID 상자에 새 맞춤 제약 조건에 사용하려는 ID를 입력합니다. 커스텀 제약 조건은 문자(대문자 및 소문자 포함) 또는 숫자만 포함할 수 있습니다(예: custom.requirePrivateAccess). 이 필드는 프리픽스(custom.)를 제외하고 최대 70자(영문 기준)까지 포함할 수 있습니다(예: organizations/123456789/customConstraints/custom). 오류 메시지에 노출될 수 있으므로 제약 조건 ID에 개인 식별 정보나 민감한 정보를 포함하지 마세요.
설명 상자에 인간이 읽을 수 있는 제약 조건 설명을 입력합니다. 이 설명은 정책이 위반되었을 때 오류 메시지로 사용됩니다. 정책 위반이 발생한 이유와 정책 위반을 해결하는 방법에 대한 세부정보를 포함합니다. 오류 메시지에 노출될 수 있으므로 설명에 개인 식별 정보나 민감한 정보를 포함하지 마세요. 이 필드는 최대 2,000자(영문 기준)까지 포함할 수 있습니다.
리소스 유형 상자에서 제한하려는 객체와 필드가 포함된 Google Cloud REST 리소스 이름을 선택합니다(예: container.googleapis.com/NodePool). 대부분의 리소스 유형은 커스텀 제약 조건을 최대 20개까지 지원합니다. 커스텀 제약 조건을 더 만들려고 하면 작업이 실패합니다.
이 제약 조건은 REST CREATE 메서드에만 적용할 수 있습니다.

각 서비스에 지원되는 메서드를 보려면 커스텀 제약조건을 지원하는 서비스에서 서비스를 찾으세요.

조건을 정의하려면 조건 수정을 클릭합니다.

조건 추가 패널에서 지원되는 서비스 리소스를 참조하는 CEL 조건을 만듭니다(예: resource.management.autoUpgrade == false). 이 필드는 최대 1,000자(영문 기준)까지 포함할 수 있습니다. CEL 사용 방법에 대한 자세한 내용은 Common Expression Language를 참조하세요. 커스텀 제약 조건에 사용할 수 있는 서비스 리소스에 대한 자세한 내용은 커스텀 제약 조건 지원 서비스를 참조하세요.
저장을 클릭합니다.

작업에서 조건이 충족될 경우 평가된 메서드를 허용하거나 거부할지를 선택합니다.

거부 작업은 조건이 true로 평가되면 리소스를 만들거나 업데이트하는 작업이 차단됨을 의미합니다.

허용 작업은 조건이 true로 평가되는 경우에만 리소스를 만들거나 업데이트하는 작업이 허용됨을 의미합니다. 조건에 명시적으로 나열된 케이스를 제외한 다른 모든 케이스가 차단됩니다.

제약 조건 만들기를 클릭합니다.

각 필드에 값을 입력하면 이 커스텀 제약 조건에 해당하는 YAML 구성이 오른쪽에 표시됩니다.

gcloud

커스텀 제약 조건을 만들려면 다음 형식을 사용하여 YAML 파일을 만듭니다.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

다음을 바꿉니다.

ORGANIZATION_ID: 조직 ID(예: 123456789)
CONSTRAINT_NAME: 새 커스텀 제약 조건에 사용할 이름. 커스텀 제약 조건은 문자(대문자 및 소문자 포함) 또는 숫자만 포함할 수 있습니다(예: custom.requirePrivateAccess). 이 필드는 프리픽스(custom.)를 제외하고 최대 70자(영문 기준)까지 포함할 수 있습니다(예: organizations/123456789/customConstraints/custom). 오류 메시지에 노출될 수 있으므로 제약 조건 ID에 개인 식별 정보나 민감한 정보를 포함하지 마세요.
RESOURCE_NAME: 제한하려는 객체와 필드가 포함된 Google Cloud리소스의 정규화된 이름. 예를 들면 contactcenteraiplatform.googleapis.com/ContactCenter입니다. 대부분의 리소스 유형은 커스텀 제약 조건을 최대 20개까지 지원합니다. 커스텀 제약 조건을 더 만들려고 하면 작업이 실패합니다.
methodTypes: 제약 조건이 적용되는 REST 메서드입니다. CREATE만 가능합니다.

각 서비스에 지원되는 메서드를 보려면 커스텀 제약 조건 지원 서비스에서 서비스를 찾으세요.

CONDITION: 지원되는 서비스 리소스의 표현에 대해 작성된 CEL 조건. 이 필드는 최대 1,000자(영문 기준)까지 포함할 수 있습니다. 예를 들면 resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT')입니다.

조건을 작성하는 데 사용할 수 있는 리소스에 대한 자세한 내용은 지원되는 리소스를 참조하세요.

ACTION: condition이 충족되면 수행할 작업. ALLOW만 가능합니다.

허용 작업은 조건이 true로 평가되면 리소스를 만들거나 업데이트하는 작업이 허용됨을 의미합니다. 즉, 조건에 명시적으로 나열된 케이스를 제외한 다른 모든 케이스는 차단됩니다.

DISPLAY_NAME: 사람이 읽을 수 있는 제약 조건 이름입니다. 이 이름은 오류 메시지에 사용되며 식별과 디버깅에 사용할 수 있습니다. 이름이 오류 메시지에 노출될 수 있으므로 표시 이름에 개인 식별 정보나 민감한 정보를 사용하지 마세요. 이 필드는 최대 200자(영문 기준)까지 포함할 수 있습니다.
DESCRIPTION: 정책이 위반될 때 오류 메시지로 표시할 사용자 친화적인 제약 조건 설명. 이 필드는 최대 2,000자(영문 기준)까지 포함할 수 있습니다.

새 커스텀 제약 조건에 사용할 YAML 파일을 만든 후에는 조직의 조직 정책에 이 파일을 사용할 수 있도록 설정해야 합니다. 커스텀 제약 조건을 설정하려면 gcloud org-policies set-custom-constraint 명령어를 사용합니다.

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

CONSTRAINT_PATH를 커스텀 제약 조건 파일의 전체 경로로 바꿉니다. 예를 들면 /home/user/customconstraint.yaml입니다.

이 작업이 완료되면 Google Cloud 조직 정책 목록에서 조직 정책으로 커스텀 제약 조건을 사용할 수 있습니다.

커스텀 제약 조건이 있는지 확인하려면 gcloud org-policies list-custom-constraints 명령어를 사용합니다.

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

ORGANIZATION_ID를 조직 리소스의 ID로 바꿉니다.

자세한 내용은 조직 정책 보기를 참조하세요.

커스텀 제약조건 적용

불리언 제약 조건을 참조하는 조직 정책을 만들고 해당 조직 정책을 Google Cloud 리소스에 적용하여 불리언 제약 조건을 적용할 수 있습니다.

맞춤 제약 조건을 적용하려면 다음 단계를 따르세요.

불리언 제약조건을 시행하는 조직 정책을 만들려면 다음 제약조건을 참조하는 정책 YAML 파일을 만듭니다.
```
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true
```
다음을 바꿉니다.
- PROJECT_ID: 제약 조건을 적용할 프로젝트
- CONSTRAINT_NAME: 커스텀 제약 조건에 정의한 이름(예: custom.requirePrivateAccess)
제약조건이 포함된 조직 정책을 시행하려면 다음 명령어를 실행합니다.
```
gcloud org-policies set-policy POLICY_PATH
```
POLICY_PATH를 조직 정책 YAML 파일의 전체 경로로 바꿉니다. 정책이 적용되는 데 최대 15분이 소요됩니다.

커스텀 제약조건 테스트

커스텀 제약 조건 만들기에 정의된 커스텀 제약 조건 (CONDITION 설명의 예와 같이 AGENT 유형의 구성요소 포함)은 다음 동작을 적용합니다.

AGENT 유형의 구성요소로 인스턴스를 만들거나 업데이트하는 것은 성공합니다. 자세한 내용은 AGENT 유형의 구성요소로 CCAI Platform 인스턴스 만들기 및 업데이트를 참고하세요.
AGENT 유형의 구성요소 없이 인스턴스를 만들거나 업데이트하면 실패합니다. 자세한 내용은 AGENT 유형의 구성요소 없이 CCAI Platform 인스턴스 만들기 및 AGENT 유형의 구성요소 없이 CCAI Platform 인스턴스 업데이트를 참고하세요.

`AGENT` 유형의 구성요소로 CCAI Platform 인스턴스 만들기 및 업데이트

AGENT 유형의 구성요소로 CCAI Platform 인스턴스를 만들고 업데이트하는 것을 테스트하려면 다음 단계를 따르세요.

이 문서에 설명된 대로 맞춤 제약 조건을 만들고, 설정하고, 시행합니다.
비공개 액세스를 위해 구성된 CCAI Platform 인스턴스 만들기에 설명된 대로 인스턴스를 만듭니다. 인스턴스 생성이 성공합니다.
인스턴스를 업데이트하려면 다음을 실행하세요.
1. Google Cloud 콘솔의 탐색 메뉴에서 CCAI 플랫폼을 클릭합니다.
  
  CCAI Platform 인스턴스
  
  CCAI Platform 인스턴스 페이지가 표시됩니다.
2. 이 절차에서 이전에 만든 인스턴스의 이름을 클릭합니다.
3. 수정을 클릭한 다음 배포 구성을 클릭합니다.
4. 배포 일정을 변경한 다음 저장을 클릭합니다. 업데이트가 성공합니다.

비공개 CCAI Platform 인스턴스를 만들었으므로 액세스하려면 Private Service Connect 연결을 설정 해야 합니다.

`AGENT` 유형의 구성요소 없이 CCAI Platform 인스턴스 만들기

AGENT 유형의 구성요소 없이 CCAI Platform 인스턴스를 만들고 업데이트하는 것을 테스트하려면 다음 단계를 따르세요.

이 문서에 설명된 대로 맞춤 제약 조건을 만들고, 설정하고, 시행합니다.
비공개 액세스를 구성하지 않고 CCAI Platform 인스턴스 만들기에 설명된 대로 인스턴스를 만듭니다. 인스턴스 생성이 실패합니다.

`AGENT` 유형 구성요소 없이 CCAI Platform 인스턴스 업데이트

AGENT 유형의 구성요소 없이 CCAI Platform 인스턴스 만들기에 설명된 것처럼 맞춤 제약 조건을 적용한 후에는 AGENT 유형의 구성요소 없이 인스턴스를 만들 수 없습니다. 커스텀 제약 조건을 적용하기 전에 이러한 인스턴스가 이미 있었다면 제약 조건을 적용한 후 인스턴스 업데이트가 실패합니다(업데이트에 AGENT 유형의 구성요소 추가가 포함되지 않는 한). 다음 참고사항을 참고하세요.

CCAI Platform 지원 리소스 및 작업

다음 표에는 조직 정책 맞춤 제약 조건에 지원되는 리소스와 작업이 나와 있습니다.

리소스	작업	속성	연산자	조건 예시
ContactCenter	인스턴스를 만들거나 업데이트합니다. 자세한 내용은 CCAI Platform 인스턴스 만들기를 참고하세요.	name	포함	`resource.name.contains("us-central1/contactCenters/myContactCenter")`
			일치	`resource.name.matches("projects/my-project/locations/us-central1/contactCenters/myContactCenter")`
			startsWith	`resource.name.startsWith("projects/my-project")`
			endsWith	`resource.name.endsWith("myContactCenter")`
		privateAccess	exists	`resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT')` `AGENT` 구성요소가 사용 설정되어 있는지 확인합니다.

일반적인 사용 사례에 대한 커스텀 조직 정책 예시

다음 표에서는 유용한 몇 가지 커스텀 조직 정책 구문을 제공합니다.

설명 제약조건 구문

설명	제약조건 구문
지정된 모든 구성요소는 비공개입니다(즉, `AGENT)`).	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.requirePrivateAccess resourceTypes: - contactcenteraiplatform.googleapis.com/ContactCenter methodTypes: - CREATE - UPDATE condition: "resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT')" actionType: ALLOW displayName: Agents cannot connect over the internet. description: Internet access is disallowed for agents.
지정된 단일 인스턴스를 제외한 모든 인스턴스는 지정된 비공개 `AGENT`를 사용해야 합니다.	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.requirePrivateAccess resourceTypes: - contactcenteraiplatform.googleapis.com/ContactCenter methodTypes: - CREATE - UPDATE condition: "resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT' \|\| resource.name.contains('myContactCenterId')" actionType: ALLOW displayName: Restrict Internet access to AGENT for all instances except a single instance. description: Internet access for agents is restricted except for myContactcenterId CCAI Platform instances.

지정된 모든 구성요소는 비공개입니다(즉, AGENT)).

    name: organizations/ORGANIZATION_ID/customConstraints/custom.requirePrivateAccess
    resourceTypes:
    - contactcenteraiplatform.googleapis.com/ContactCenter
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT')"
    actionType: ALLOW
    displayName: Agents cannot connect over the internet.
    description: Internet access is disallowed for agents.

지정된 단일 인스턴스를 제외한 모든 인스턴스는 지정된 비공개 AGENT를 사용해야 합니다.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.requirePrivateAccess
    resourceTypes:
    - contactcenteraiplatform.googleapis.com/ContactCenter
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.privateAccess.ingressSettings.exists(private_component, private_component.name == 'AGENT' ||
    resource.name.contains('myContactCenterId')"
    actionType: ALLOW
    displayName: Restrict Internet access to AGENT for all instances except a
    single instance.
    description: Internet access for agents is restricted except for myContactcenterId CCAI Platform instances.