組織ポリシーの制約

このドキュメントでは、組織のポリシー サービスを使用して Conversational Analytics API リソースを管理する方法について説明します。

組織のポリシー サービスでは、リソースの構成と使用方法を制限する制約を使用して、 Google Cloud リソースを一元的に制御できます。これらの制約は、組織、フォルダ、プロジェクト レベルでデータ エージェントと会話に適用できます。デフォルトでは、子リソースは親リソースのポリシーを継承します。

制約を適用するには、組織のポリシーを作成して、リソース階層内のリソースにアタッチします。これらのポリシーは、 Google Cloud コンソールまたは gcloud CLI を使用して設定および管理できます。詳細な手順については、組織のポリシーの作成と管理をご覧ください。

始める前に

組織のポリシーを適用して Conversational Analytics API リソースを制限する前に、必要な Identity and Access Management（IAM）ロールが付与されていることを確認してください。

必要なロール

組織のポリシーを管理または表示するために必要な権限を取得するには、 次の IAM ロールを付与するように管理者に依頼してください。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタム ロールや他の事前定義 ロールから取得することもできます。

事前定義された制約

次の事前定義された制約を使用する組織のポリシーを適用して、Conversational Analytics API リソースを制限できます。制約に組織のポリシーを設定しない場合、デフォルトの動作では、関連するすべてのアクションが許可されます。

制約 説明 デフォルトの動作
gcp.restrictServiceUsage リソース階層で Conversational Analytics API サービスを使用できるかどうかを制限します。 Conversational Analytics API サービスの使用は制限されません。
gcp.resourceLocations データ エージェントと会話を作成できるロケーションを制限します。 Conversational Analytics API リソースは、サポートされている任意のロケーションに作成できます。
gcp.restrictNonCmekServices リソースを顧客管理の暗号鍵（CMEK）で保護する必要があります。 新しい Conversational Analytics API リソースに CMEK 保護は必要ありません。
gcp.restrictCmekCryptoKeyProjects CMEK の暗号鍵を提供できるプロジェクト、フォルダ、組織を制限します。 暗号鍵のソースに制限はありません。

サービスの使用を制限する

constraints/gcp.restrictServiceUsage 制約を使用すると、リソース階層で使用できる Google Cloud サービスを制御できます。

Conversational Analytics API を制限するには、この制約の拒否リストに Gemini Data Analytics サービス（geminidataanalytics.googleapis.com）を追加するか、許可リストから除外します。

許可リストを使用する場合は、API が使用する基盤となるデータソース サービス（BigQuery サービス（bigquery.googleapis.com）や Looker（Google Cloud コア）サービス（looker.googleapis.com）など）も含める必要があります。これらのサービスが制限されている場合、ユーザーはデータ エージェントと会話を作成または操作できません。

リソースのロケーションを制限する

constraints/gcp.resourceLocations 制約により、新しい Conversational Analytics API データ エージェントと会話の作成が、指定された Google Cloud ロケーションに制限されます。API でサポートされているリージョンとマルチリージョンのリストについては、 Conversational Analytics API のロケーションをご覧ください。

このポリシーが適用されると、拒否されたロケーション内でリソースを作成しようとすると失敗します。既存の Conversational Analytics API リソースは、このポリシーの変更の影響を受けません。

組織のポリシーでロケーションを指定する方法については、リソースのロケーションを制限するをご覧ください。

CMEK 保護を要求する

The constraints/gcp.restrictNonCmekServices 制約を使用すると、Conversational Analytics API リソースに顧客管理の暗号鍵（CMEK）保護を要求できます。

この制約が Gemini Data Analytics（geminidataanalytics.googleapis.com）サービスを拒否するように構成されている場合、新しい Conversational Analytics API データ エージェントと会話は CMEK で保護する必要があります。Cloud KMS 鍵を指定せずにリソースを作成しようとすると、Conversational Analytics API はリクエストをブロックします。

CMEK 鍵を制限する

constraints/gcp.restrictCmekCryptoKeyProjects 制約を使用すると、CMEK 保護用の Cloud KMS 鍵を 提供できるプロジェクト、フォルダ、組織を制限できます。

この制約を構成すると、CMEK を使用する Conversational Analytics API リソースは、許可されたプロジェクト、フォルダ、組織に属する鍵を使用する必要があります。許可リストにないプロジェクトの鍵を使用してリソースを作成しようとすると、Conversational Analytics API はリクエストをブロックします。

ポリシー違反のトラブルシューティング

リクエストが組織のポリシーに違反した場合、Conversational Analytics API は HTTP ステータス コード 403 Forbidden のエラーを返します。エラー メッセージには、違反した制約の名前が含まれます。

次の例は、gcp.restrictServiceUsage 制約に違反するリクエストのエラー メッセージを示しています。

{
  "error": {
    "code": 403,
    "message": "Request is disallowed by organization's constraints/gcp.restrictServiceUsage constraint for projects/PROJECT_ID attempting to use service geminidataanalytics.googleapis.com.",
    "status": "PERMISSION_DENIED",
    "details": [
      {
        "@type": "type.googleapis.com/google.rpc.ErrorInfo",
        "reason": "SECURITY_POLICY_VIOLATED",
        "domain": "googleapis.com",
        "metadata": {
          "service": "geminidataanalytics.googleapis.com",
          "consumer": "projects/PROJECT_ID"
        }
      }
    ]
  }
}

エラー メッセージには制約の技術名が含まれますが、人が読める形式の制約の説明は含まれません。特定の制約の要件については、事前定義された制約の説明をご覧ください。

次のステップ