Übersicht über Einschränkungen für verwaltete Richtlinien

Auf dieser Seite erhalten Sie eine Übersicht über verwaltete Einschränkungen von Organisationsrichtlinien und ihre Interaktionen.

Abhängigkeiten der Richtlinienerzwingung

Die Erzwingung verwalteter Einschränkungen von Organisationsrichtlinien für Datenspeicher hängt von mehreren Faktoren ab: vom Typ der Datenquelle, die Sie konfigurieren, davon, ob Ihr Projekt mit VPC Service Controls geschützt ist, und davon, ob Ihr Projekt im Parameter enforcedProjects enthalten ist.

Zugehörige Richtlinie oder Dienst Beschreibung
Zulässige Datenquellen für Daten-Connectors einschränken Wenn Sie eine Datenquelle wie Google Drive oder Gmail, in der Zulässige Datenquellen für Daten-Connectors einschränken verwalteten Einschränkung der Organisationsrichtlinie zulassen, werden Verbindungen zu den bekannten FQDNs automatisch zugelassen. Das bedeutet, dass Sie diese Domains nicht in der Ausgehende Domains für Daten-Connectors einschränken verwalteten Einschränkung der Organisationsrichtlinie definieren müssen.

Für Projekte, in denen die Richtlinie erzwungen wird (VPCSC-aktivierte Projekte oder Projekte, die in enforcedProjects aufgeführt sind), müssen Sie die Richtlinie Ausgehender Traffic für Daten-Connectors einschränken verwenden, um die erforderlichen FQDNs für Datenquellen von Drittanbietern explizit zuzulassen, bei denen FQDNs nicht automatisch zugelassen werden.
Ausgehende Domains für Daten-Connectors einschränken Für Projekte, in denen die Richtlinie erzwungen wird (VPCSC-aktivierte Projekte oder Projekte, die in enforcedProjects aufgeführt sind), können Sie mit dieser verwalteten Einschränkung der Organisationsrichtlinie angeben, welche voll qualifizierten Domainnamen (Fully Qualified Domain Names, FQDNs) beim Hinzufügen eines Datenspeichers zulässig sind.
Organisationsrichtlinie für benutzerdefinierte MCP-Datenspeicher überschreiben Diese verwaltete Einschränkung der Organisationsrichtlinie steuert, ob benutzerdefinierte Datenquellen für das Model Context Protocol (MCP) verwendet werden können.

Bevor Sie einen benutzerdefinierten MCP-Datenspeicher erstellen können, müssen Sie die Disable custom MCP server connector for Gemini Enterprise verwaltete Einschränkung deaktivieren, um benutzerdefiniertes MCP zu aktivieren.
VPC Service Controls VPC Service Controls-Perimeter können Ihr Projekt schützen. Weitere Informationen finden Sie unter VPC Service Controls verwenden.

Die Erzwingung dieser Einschränkung hängt auch davon ab, ob Ihr Projekt durch einen VPC Service Controls-Perimeter (VPCSC) geschützt ist. Weitere Informationen finden Sie unter VPCSC-Interaktion und -Erzwingung.

VPCSC-Interaktion und -Erzwingung

Das Erzwingungsverhalten dieser Einschränkung hängt vom VPCSC-Status Ihres Projekts und davon ab, ob es im Parameter enforcedProjects der Einschränkung der Organisationsrichtlinie enthalten ist. Eine Zusammenfassung finden Sie in der folgenden Tabelle:

VPCSC-Status Projekt in enforcedProjects enthalten Erzwingung von allowedEgressFqdns Erzwingung von allowedDataSources
Aktiviert Ja Die Bereitstellung wird blockiert , wenn die erforderlichen Domains nicht aufgeführt sind. Die Bereitstellung wird blockiert , wenn die Datenquelle nicht aufgeführt ist.
Aktiviert Nein Die Bereitstellung wird blockiert , wenn die erforderlichen Domains nicht aufgeführt sind. Die Bereitstellung wird blockiert , wenn die Datenquelle nicht aufgeführt ist.
Nicht aktiviert Ja Die Bereitstellung wird blockiert , wenn die erforderlichen Domains nicht aufgeführt sind. Die Bereitstellung wird blockiert , wenn die Datenquelle nicht aufgeführt ist.
Nicht aktiviert Nein Die Bereitstellung ist zulässig , auch wenn keine Domains aufgeführt sind. Die Bereitstellung ist zulässig , auch wenn die Datenquelle nicht aufgeführt ist.

Beispielszenarien

Anhand der folgenden Beispiele können Sie nachvollziehen, wie diese Richtlinien interagieren.

Google Drive mit VPCSC-Schutz zulassen

Sie möchten Nutzern erlauben, einen Google Drive-Datenspeicher zu erstellen.

Einrichtung
Das Projekt ist durch einen VPC Service Controls-Perimeter geschützt und der VPCSC-Status ist Aktiviert.
Anforderung
Um den Datenspeicher zu erstellen, müssen Sie google_drive der Richtlinie Zulässige Datenquellen für Daten-Connectors hinzufügen.
Warum
Das System lässt die Verbindung zu und erlaubt automatisch die bekannten FQDNs für Google Drive. Sie müssen die Richtlinie Ausgehende Domains für Daten-Connectors einschränken nicht aktualisieren.

Benutzerdefinierten MCP-Server mit VPCSC-Schutz zulassen

Sie möchten Nutzern erlauben, einen benutzerdefinierten MCP-Datenspeicher zu erstellen, der eine Verbindung zu `api.cymbal.com` herstellt.

Einrichtung
Das Projekt ist durch einen VPC Service Controls-Perimeter geschützt (VPCSC-Status: Aktiviert).
Anforderung
Um den Datenspeicher zu erstellen und eine Verbindung zu api.cymbal.com zuzulassen, müssen Sie Folgendes tun:
  1. Deaktivieren Sie die verwaltete Einschränkung Disable custom MCP server connector for Gemini Enterprise.
  2. Fügen Sie custom_mcp der Richtlinie Zulässige Datenquellen für Daten Connectors einschränken hinzu.
  3. Fügen Sie api.cymbal.com der Richtlinie Ausgehende Domains für Daten Connectors einschränken hinzu.
Warum
Wenn VPC Service Controls aktiviert ist, werden Richtlinien automatisch erzwungen. Für benutzerdefiniertes MCP müssen Sie FQDNs explizit zulassen.

Datenquelle eines Drittanbieters (Jira) ohne VPCSC-Schutz

Eine Organisation möchte Nutzern erlauben, einen Datenspeicher für eine Datenquelle eines Drittanbieters (Jira) in einem Projekt zu erstellen, das nicht der Erzwingung unterliegt.

Einrichtung
Das Projekt ist nicht durch einen VPC Service Controls-Perimeter geschützt und nicht in enforcedProjects aufgeführt.
Anforderung
Es sind keine Aktualisierungen für die Organisationsrichtlinien erforderlich.
Warum
Da die Standarderzwingung deaktiviert ist, müssen Sie die Datenquelle oder ihre FQDNs nicht explizit zulassen.