建立機構網路政策

機構網路政策會定義機構層級代管服務的網路存取權控管，這些服務會透過 Google Distributed Cloud (GDC) Air-gapped 曝光。您可以使用 Networking API 的 OrganizationNetworkPolicy 資源定義這些存取控制項。

如要取得設定機構網路政策所需的權限，請要求機構身分與存取權管理 (IAM) 管理員授予您機構網路政策管理員 (org-network-policy-admin) 角色。

您可以定義機構網路政策，控管下列 GDC 管理服務的存取權：

• 所有服務
• GDC 控制台
• Distributed Cloud CLI
• 全球 API 伺服器
• 金鑰管理系統 (KMS)
• 物件儲存空間
• Vertex AI
  • 政策支援的 Vertex AI 服務包括：光學字元辨識 API、Speech-to-Text API、Translation API 和 Workbench。

預設政策

根據預設，下列 GDC 代管服務會遵循下列原則：

GDC 服務	原則
所有服務	allow-all
GDC 控制台	allow-all
gdcloud CLI	allow-all
全球 API 伺服器	deny-by-default
KMS	deny-by-default
物件儲存空間	deny-by-default
Vertex AI 和支援的服務	deny-by-default

機構網路政策範例

以下是 OrganizationNetworkPolicy 資源的範例，可讓來自 IP 位址的流量存取 GDC 管理的服務。

   kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
   apiVersion: networking.gdc.goog/v1
   kind: OrganizationNetworkPolicy
   metadata:
     name: POLICY_NAME
     namespace: platform
   spec:
     subject:
       services:
         matchTypes:
         - "SERVICE_NAME"
     ingress:
       - from:
         - ipBlock:
             cidr: IP_ADDRESS
         - ipBlock:
             cidr: IP_ADDRESS
   EOF

請替換下列變數：

變數	說明
MANAGEMENT_API_SERVER	區域 API 伺服器的 kubeconfig 路徑。如果您尚未在目標區域中為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一節瞭解詳情。
POLICY_NAME	政策的名稱。 舉例來說，allow-ui-access。
SERVICE_NAME	要套用政策的服務名稱。針對各項服務使用下列值： 所有服務：all GDC 控制台：ui-console gdcloud CLI：api-server 全球 API 伺服器：global-api-server KMS：kms 物件儲存空間：object-storage Vertex AI：ai 。
IP_ADDRESS	允許存取的 IP 位址。例如，10.251.0.0/24。您也可以為每個 IP 位址定義多個 ipBlock 欄位，藉此新增多個 IP 位址。