En esta página, se proporciona una descripción general de las restricciones de las políticas de la organización administradas y sus interacciones.
Dependencias de la aplicación de políticas
La aplicación de las restricciones de la política de la organización administrada para los almacenes de datos
depende de varios factores: el tipo de fuente de datos que configuras, si
tu proyecto está protegido con los Controles del servicio de VPC y si tu proyecto está
incluido en el parámetro enforcedProjects.
| Política o servicio relacionado | Descripción |
|---|---|
| Restringe las fuentes de datos permitidas para los conectores de datos |
Si permites una fuente de datos, como Google Drive o Gmail,
en la restricción de la política de la organización administrada
Restringe las fuentes de datos permitidas para los conectores de datos, la restricción permite
automáticamente las conexiones a sus FQDN conocidos. Este permiso significa que no
necesitas definir estos dominios en la restricción de política administrada
Restringe los dominios de salida para los conectores de datos. En los proyectos en los que se aplica la política (proyectos habilitados para VPCSC o proyectos que se indican en enforcedProjects), debes usar la
política Restringe los dominios de salida para los conectores de datos para permitir de forma explícita
los FQDN necesarios para las fuentes de datos de terceros en las que los FQDN
no se permiten automáticamente.
|
| Restringe los dominios de salida para los conectores de datos |
En los proyectos en los que se aplica la política (proyectos habilitados para VPCSC o
proyectos que se indican en enforcedProjects), esta restricción de la política de la organización administrada
te permite especificar qué nombres de dominio completamente calificados (FQDN)
se permiten cuando se agrega un almacén de datos.
|
| Anula la política de la organización para los almacenes de datos de MCP personalizados |
Esta restricción de la política de la organización administrada controla si se pueden usar fuentes de datos personalizadas
del Protocolo de contexto del modelo (MCP). Antes de crear un almacén de datos de MCP personalizado, debes desactivar la restricción administrada Disable custom MCP server connector
for Gemini Enterprise
para habilitar MCP personalizado.
|
| Controles del servicio de VPC |
Los perímetros de los Controles del servicio de VPC pueden proteger tu proyecto. Para obtener más
información, consulta
Usa los Controles del servicio de VPC.
La aplicación de esta restricción también depende de si tu proyecto está protegido por un perímetro de Controles del servicio de VPC (VPCSC). Para obtener más información, consulta Interacción y aplicación de los Controles del servicio de VPC. |
Interacción y aplicación de VPCSC
El comportamiento de aplicación de esta restricción depende del estado de VPCSC de tu proyecto
y de si se incluye en el parámetro enforcedProjects de la restricción de la política de la organización, como se resume en la siguiente tabla:
| Estado de VPCSC | Proyecto incluido en enforcedProjects |
Aplicación de medidas por incumplimiento de allowedEgressFqdns |
Aplicación de medidas por incumplimiento de allowedDataSources |
|---|---|---|---|
| Habilitado | Sí | El aprovisionamiento se bloquea si no se incluyen los dominios obligatorios. | El aprovisionamiento se bloquea si la fuente de datos no aparece en la lista. |
| Habilitado | No | El aprovisionamiento se bloquea si no se incluyen los dominios obligatorios. | El aprovisionamiento se bloquea si la fuente de datos no aparece en la lista. |
| No habilitada | Sí | El aprovisionamiento se bloquea si no se incluyen los dominios obligatorios. | El aprovisionamiento se bloquea si la fuente de datos no aparece en la lista. |
| No habilitada | No | El aprovisionamiento está permitido incluso si los dominios no aparecen en la lista. | El aprovisionamiento está permitido incluso si la fuente de datos no aparece en la lista. |
Situaciones de ejemplo
Para comprender cómo interactúan estas políticas, considera los siguientes ejemplos.
Permitir Google Drive con protección de VPCSC
Quieres permitir que los usuarios creen un almacén de datos de Google Drive.
| Configuración |
|---|
| El proyecto está protegido por un perímetro de Controles del servicio de VPC, y el estado de VPCSC es Habilitado. |
| Requisito |
Para crear el almacén de datos, debes agregar
google_drive a la política Restringe las fuentes de datos permitidas para los conectores de datos. |
| Por qué |
| El sistema permite la conexión y, de forma automática, los FQDN conocidos para Google Drive. No es necesario que actualices la política Restringe los dominios de salida para los conectores de datos. |
Permite un servidor de MCP personalizado con protección de VPCSC
Quieres permitir que los usuarios creen un almacén de datos de MCP personalizado que se conecte a `api.cymbal.com`.
| Configuración |
|---|
| El proyecto está protegido por un perímetro de Controles del servicio de VPC (estado de VPCSC: Habilitado). |
| Requisito |
Para crear el almacén de datos y permitir que se conecte a
api.cymbal.com, debes hacer lo siguiente:
|
| Por qué |
| Cuando se habilitan los Controles del servicio de VPC, las políticas se aplican automáticamente. El MCP personalizado requiere que permitas los FQDN de forma explícita. |
Fuente de datos de terceros (Jira) sin protección de VPCSC
Una organización quiere permitir que los usuarios creen un almacén de datos para una fuente de datos de terceros, Jira, en un proyecto que no está sujeto a la aplicación de medidas por incumplimiento.
| Configuración |
|---|
El proyecto no está protegido por un perímetro de Controles del servicio de VPC y no aparece
en enforcedProjects. |
| Requisito |
| No se requieren actualizaciones para las políticas de la organización. |
| Por qué |
| Debido a que la aplicación de políticas estándar está inhabilitada, no necesitas permitir de forma explícita la fuente de datos ni sus FQDN. |