Restrições da política da organização

Este documento descreve como usar o Serviço de política da organização para gerenciar recursos da API Conversational Analytics.

O Serviço de política da organização oferece controle centralizado sobre seus Google Cloud recursos por meio de restrições que limitam como os recursos podem ser configurados e usados. É possível aplicar essas restrições a agentes de dados e conversas no nível da organização, da pasta ou do projeto. Por padrão, os recursos filhos herdam as políticas dos recursos pai.

Para aplicar uma restrição, crie uma política da organização e anexe-a a um recurso na hierarquia de recursos. É possível definir e gerenciar essas políticas usando o Google Cloud console ou a CLI gcloud. Para instruções detalhadas, consulte Criar e gerenciar políticas da organização.

Antes de começar

Antes de aplicar políticas da organização para restringir recursos da API Conversational Analytics, verifique se você tem os papéis necessários do Identity and Access Management (IAM).

Funções exigidas

Para conseguir as permissões que você precisa para gerenciar ou visualizar políticas da organização, peça ao administrador para conceder a você os seguintes papéis do IAM:

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias com papéis personalizados ou outros papéis predefinidos.

Restrições predefinidas

É possível aplicar políticas da organização que usam as seguintes restrições predefinidas para restringir recursos da API Conversational Analytics. Se você não definir uma política da organização para uma restrição, o comportamento padrão será permitir todas as ações relevantes.

Restrição Descrição Comportamento padrão
gcp.restrictServiceUsage Restringe se o serviço da API Conversational Analytics pode ser usado na hierarquia de recursos. O uso do serviço da API Conversational Analytics não é restrito.
gcp.resourceLocations Limita os locais em que agentes de dados e conversas podem ser criados. Os recursos da API Conversational Analytics podem ser criados em qualquer local compatível.

Restringir o uso do serviço

A restrição constraints/gcp.restrictServiceUsage permite controlar quais Google Cloud serviços podem ser usados na hierarquia de recursos.

Para restringir a API Conversational Analytics, adicione o serviço Gemini Data Analytics (geminidataanalytics.googleapis.com) a uma lista de bloqueio para essa restrição ou omita-o de uma lista de permissões.

Se você usar uma lista de permissões, também precisará incluir todos os serviços de origem de dados subjacentes usados pela API, como o serviço BigQuery (bigquery.googleapis.com) ou o serviço Looker (Google Cloud core) (looker.googleapis.com). Se algum desses serviços for restrito, os usuários não poderão criar ou interagir com agentes de dados e conversas.

Restringir locais de recursos

A restrição constraints/gcp.resourceLocations limita a criação de novos agentes de dados e conversas da API Conversational Analytics a locais específicos Google Cloud . Para uma lista de regiões e multirregiões compatíveis com a API, consulte Locais da API Conversational Analytics.

Se essa política for aplicada, qualquer tentativa de criar um recurso em um local negado falhará. Os recursos atuais da API Conversational Analytics não são afetados por mudanças nessa política.

Para saber como especificar locais na política da organização, consulte Restringir locais de recursos.

Resolver problemas de violação de política

Se uma solicitação violar uma política da organização, a API Conversational Analytics retornará um erro com um código de status HTTP de 403 Forbidden. A mensagem de erro inclui o nome da restrição que foi violada.

O exemplo a seguir mostra uma mensagem de erro para uma solicitação que viola a restrição gcp.restrictServiceUsage:

{
  "error": {
    "code": 403,
    "message": "Request is disallowed by organization's constraints/gcp.restrictServiceUsage constraint for projects/PROJECT_ID attempting to use service geminidataanalytics.googleapis.com.",
    "status": "PERMISSION_DENIED",
    "details": [
      {
        "@type": "type.googleapis.com/google.rpc.ErrorInfo",
        "reason": "SECURITY_POLICY_VIOLATED",
        "domain": "googleapis.com",
        "metadata": {
          "service": "geminidataanalytics.googleapis.com",
          "consumer": "projects/PROJECT_ID"
        }
      }
    ]
  }
}

A mensagem de erro inclui o nome técnico da restrição, mas não inclui a descrição legível da restrição. Para entender os requisitos de uma restrição específica, consulte as descrições em Restrições predefinidas.

A seguir