このページでは、マネージド組織のポリシーの制約とその相互作用の概要について説明します。
ポリシー適用の依存関係
データストアに対するマネージド組織ポリシーの制約の適用は、構成するデータソースのタイプ、プロジェクトが VPC Service Controls で保護されているかどうか、プロジェクトが enforcedProjects パラメータに含まれているかどうかなど、いくつかの要因によって異なります。
| 関連するポリシーまたはサービス | 説明 |
|---|---|
| データコネクタで許可されるデータソースを制限する |
データコネクタに許可されるデータソースを制限するマネージド組織ポリシーの制約で、Google ドライブや Gmail などのデータソースを許可すると、制約によって、よく知られている FQDN への接続が自動的に許可されます。この権限により、データコネクタの下り（外向き）ドメインを制限するマネージド ポリシー制約でこれらのドメインを定義する必要がなくなります。 ポリシーが適用されるプロジェクト（VPCSC 対応プロジェクトまたは enforcedProjects にリストされているプロジェクト）では、データコネクタの下り（外向き）ドメインを制限するポリシーを使用して、FQDN が自動的に許可されないサードパーティ データソースに必要な FQDN を明示的に許可する必要があります。
|
| データコネクタの下り（外向き）ドメインを制限する |
ポリシーが適用されているプロジェクト（VPCSC 対応プロジェクトまたは enforcedProjects にリストされているプロジェクト）の場合、このマネージド組織ポリシーの制約により、データストアを追加するときに許可される完全修飾ドメイン名（FQDN）を指定できます。 |
| カスタム MCP データストアの組織のポリシーをオーバーライドする |
このマネージド組織ポリシーの制約は、カスタム Model Context Protocol（MCP）データソースを使用できるかどうかを制御します。 カスタム MCP データストアを作成する前に、 Disable custom MCP server connector
for Gemini Enterprise マネージド制約をオフにしてカスタム MCP を有効にする必要があります。
|
| VPC Service Controls |
VPC Service Controls の境界はプロジェクトを保護できます。詳細については、VPC Service Controls を使用するをご覧ください。 この制約の適用は、プロジェクトが VPC Service Controls（VPCSC）境界で保護されているかどうかによっても異なります。詳細については、VPCSC の操作と適用をご覧ください。 |
VPCSC の相互作用と適用
この制約の適用動作は、プロジェクトの VPCSC の状態と、組織のポリシー制約の enforcedProjects パラメータに含まれているかどうかによって異なります。次の表にまとめます。
| VPCSC の状態 | enforcedProjects に含まれるプロジェクト |
allowedEgressFqdns 違反措置 |
allowedDataSources の違反措置 |
|---|---|---|---|
| 有効 | はい | 必要なドメインがリストにない場合、プロビジョニングはブロックされます。 | データソースがリストにない場合、プロビジョニングはブロックされます。 |
| 有効 | いいえ | 必要なドメインがリストにない場合、プロビジョニングはブロックされます。 | データソースがリストにない場合、プロビジョニングはブロックされます。 |
| 無効 | はい | 必要なドメインがリストにない場合、プロビジョニングはブロックされます。 | データソースがリストにない場合、プロビジョニングはブロックされます。 |
| 無効 | いいえ | ドメインがリストにない場合でも、プロビジョニングは許可されます。 | データソースがリストにない場合でも、プロビジョニングは許可されます。 |
サンプル事例
これらのポリシーがどのように相互作用するかを理解するために、次の例を考えてみましょう。
VPCSC 保護付きの Google ドライブを許可する
ユーザーが Google ドライブのデータストアを作成できるようにする。
| 設定 |
|---|
| プロジェクトが VPC Service Controls の境界で保護されており、VPCSC の状態が有効になっている。 |
| 要件 |
データストアを作成するには、データコネクタに許可されるデータソースを制限するポリシーに google_drive を追加する必要があります。 |
| 理由 |
| システムは接続を許可し、Google ドライブの既知の FQDN を自動的に許可します。データコネクタの下り（外向き）ドメインを制限するポリシーを更新する必要はありません。 |
VPCSC 保護を使用したカスタム MCP サーバーの許可
ユーザーが `api.cymbal.com` に接続するカスタム MCP データストアを作成できるようにします。
| 設定 |
|---|
| プロジェクトは VPC Service Controls の境界によって保護されています（VPCSC の状態: 有効）。 |
| 要件 |
データストアを作成して api.cymbal.com に接続できるようにするには、次の操作を行う必要があります。
|
| 理由 |
| VPC Service Controls が有効になっている場合、ポリシーは自動的に適用されます。カスタム MCP では、FQDN を明示的に許可する必要があります。 |
VPCSC 保護のないサードパーティのデータソース（Jira）
ある組織が、適用対象外のプロジェクトで、サードパーティのデータソースである Jira のデータストアをユーザーが作成できるようにしたいと考えています。
| 設定 |
|---|
プロジェクトは VPC Service Controls の境界で保護されておらず、enforcedProjects にリストされていません。 |
| 要件 |
| 組織のポリシーの更新は必要ありません。 |
| 理由 |
| 標準の適用が無効になっているため、データソースまたはその FQDN を明示的に許可する必要はありません。 |