Questa pagina fornisce una panoramica dei vincoli delle policy dell'organizzazione gestite e delle relative interazioni.
Dipendenze dell'applicazione delle policy
L'applicazione dei vincoli delle policy dell'organizzazione gestite per i datastore dipende da diversi fattori: il tipo di origine dati che stai configurando, se il tuo progetto è protetto con i Controlli di servizio VPC e se il tuo progetto è incluso nel parametro enforcedProjects.
| Policy o servizio correlato | Descrizione |
|---|---|
| Limitare le origini dati consentite per i connettori dati |
Se consenti un'origine dati, ad esempio Google Drive o Gmail,
nel vincolo della policy dell'organizzazione gestita Limitare le origini dati consentiti per i connettori dati, il vincolo consente automaticamente
le connessioni ai relativi FQDN noti. Questa autorizzazione significa che non devi definire questi domini nel Limitare i domini in uscita per i connettori dati vincolo della policy gestita. Per i progetti in cui la policy è applicata (progetti con VPCSC abilitati o progetti elencati in enforcedProjects), devi utilizzare la
Limitare i domini in uscita per i connettori dati policy per consentire esplicitamente
i FQDN necessari per le origini dati di terze parti in cui i FQDN
non sono consentiti automaticamente.
|
| Limitare i domini in uscita per i connettori dati |
Per i progetti in cui la policy è applicata (progetti con VPCSC abilitati o
progetti elencati in enforcedProjects), questo vincolo della policy dell'organizzazione gestita ti consente di specificare quali
nomi di dominio completi (FQDN) sono consentiti quando aggiungi un
datastore.
|
| Ignorare la policy dell'organizzazione per i datastore MCP personalizzati |
Questo vincolo della policy dell'organizzazione gestita controlla se è possibile utilizzare le origini dati del Model Context Protocol (MCP) personalizzato. Prima di poter creare un datastore MCP personalizzato, devi disattivare il vincolo gestito Disable custom MCP server connector
for Gemini Enterprise
per abilitare MCP personalizzato.
|
| Controlli di servizio VPC |
I perimetri dei Controlli di servizio VPC possono proteggere il tuo progetto. Per saperne di più, consulta Utilizzare i Controlli di servizio VPC.
L'applicazione di questo vincolo dipende anche dal fatto che il tuo progetto sia protetto da un perimetro dei Controlli di servizio VPC (VPCSC). Per saperne di più, consulta Interazione e applicazione di VPCSC. |
Interazione e applicazione di VPCSC
Il comportamento di applicazione di questo vincolo dipende dallo stato VPCSC del tuo progetto e se è incluso nel parametro enforcedProjects del vincolo della policy dell'organizzazione, come riassunto nella tabella seguente:
| Stato VPCSC | Progetto incluso in enforcedProjects |
Applicazione di allowedEgressFqdns |
Applicazione di allowedDataSources |
|---|---|---|---|
| Abilitato | Sì | Il provisioning è bloccato se i domini richiesti non sono elencati. | Il provisioning è bloccato se l'origine dati non è elencata. |
| Abilitato | No | Il provisioning è bloccato se i domini richiesti non sono elencati. | Il provisioning è bloccato se l'origine dati non è elencata. |
| Non abilitato | Sì | Il provisioning è bloccato se i domini richiesti non sono elencati. | Il provisioning è bloccato se l'origine dati non è elencata. |
| Non abilitato | No | Il provisioning è consentito anche se i domini non sono elencati. | Il provisioning è consentito anche se l'origine dati non è elencata. |
Scenari di esempio
Per capire come interagiscono queste policy, prendi in considerazione i seguenti esempi.
Consentire Google Drive con la protezione VPCSC
Vuoi consentire agli utenti di creare un datastore Google Drive.
| Configurazione |
|---|
| Il progetto è protetto da un perimetro dei Controlli di servizio VPC e lo stato VPCSC è Abilitato. |
| Requisito |
Per creare il datastore, devi aggiungere
google_drive alla policy
**Limitare le origini dati consentite per i connettori dati**. |
| Perché |
| Il sistema consente la connessione e consente automaticamente i FQDN noti per Google Drive. Non devi aggiornare la policy Limitare i domini in uscita per i connettori dati. |
Consentire un server MCP personalizzato con la protezione VPCSC
Vuoi consentire agli utenti di creare un datastore MCP personalizzato che si connetta a `api.cymbal.com`.
| Configurazione |
|---|
| Il progetto è protetto da un perimetro dei Controlli di servizio VPC (stato VPCSC: Abilitato). |
| Requisito |
Per creare il datastore e consentirgli di connettersi a
api.cymbal.com, devi:
|
| Perché |
| Quando i Controlli di servizio VPC sono abilitati, le policy vengono applicate automaticamente. MCP personalizzato richiede di consentire esplicitamente i FQDN. |
Origine dati di terze parti (Jira) senza protezione VPCSC
Un'organizzazione vuole consentire agli utenti di creare un datastore per un'origine dati di terze parti dati, Jira, in un progetto non soggetto all'applicazione.
| Configurazione |
|---|
Il progetto non è protetto da un perimetro dei Controlli di servizio VPC e non è elencato
in enforcedProjects. |
| Requisito |
| Non sono necessari aggiornamenti per le policy dell'organizzazione. |
| Perché |
| Poiché l'applicazione standard è disattivata, non devi consentire esplicitamente l'origine dati o i relativi FQDN. |