Nesta página, você encontra uma visão geral das restrições de políticas da organização gerenciadas e as interações delas.
Dependências de aplicação de políticas
A aplicação de restrições de políticas da organização gerenciadas para repositórios de dados
depende de vários fatores: o tipo de fonte de dados que você está configurando, se
o projeto está protegido com o VPC Service Controls e se o projeto está
incluído no parâmetro enforcedProjects.
| Política ou serviço relacionado | Descrição |
|---|---|
| Restringir as fontes de dados permitidas para conectores de dados |
Se você permitir uma fonte de dados, como o Google Drive ou o Gmail,
na restrição de política da organização gerenciada
Restringir fontes de dados permitidas para conectores de dados, a restrição vai permitir
automaticamente conexões com os FQDNs conhecidos. Essa permissão significa que você
não precisa definir esses domínios na restrição de política gerenciada
Restringir domínios de saída para conectores de dados. Para projetos em que a política é aplicada (projetos com o VPCSC ativado ou listados em enforcedProjects), use a política
Restringir domínios de saída para conectores de dados para permitir explicitamente
os FQDNs necessários para fontes de dados de terceiros em que os FQDNs
não são permitidos automaticamente.
|
| Restringir domínios de saída para conectores de dados |
Para projetos em que a política é aplicada (projetos com o VPCSC ativado ou
listados em enforcedProjects), essa restrição de política da organização
gerenciada permite especificar quais
nomes de domínio totalmente qualificados (FQDNs) são permitidos ao adicionar um
repositório de dados.
|
| Substituir a política da organização para repositórios de dados personalizados do MCP |
Essa restrição de política da organização gerenciada controla se as fontes de dados personalizadas do Protocolo de Contexto de Modelo (MCP) podem ser usadas. Antes de criar um repositório de dados do MCP personalizado, desative a restrição gerenciada Disable custom MCP server connector
for Gemini Enterprise
para ativar o MCP personalizado.
|
| VPC Service Controls |
Os perímetros do VPC Service Controls podem proteger seu projeto. Para mais informações, consulte Usar o VPC Service Controls.
A aplicação dessa restrição também depende de o projeto estar protegido por um perímetro do VPC Service Controls (VPCSC). Para mais informações, consulte Interação e aplicação do VPCSC. |
Interação e aplicação do VPCSC
O comportamento de aplicação dessa restrição depende do estado do VPCSC do projeto
e se ele está incluído no parâmetro enforcedProjects da restrição da política da organização, conforme resumido na tabela a seguir:
| Estado do VPCSC | Projeto incluído em enforcedProjects |
Restrição de allowedEgressFqdns |
Restrição de allowedDataSources |
|---|---|---|---|
| Ativado | Sim | O provisionamento será bloqueado se os domínios necessários não estiverem listados. | O provisionamento será bloqueado se a fonte de dados não estiver listada. |
| Ativado | Não | O provisionamento será bloqueado se os domínios necessários não estiverem listados. | O provisionamento será bloqueado se a fonte de dados não estiver listada. |
| Não ativado | Sim | O provisionamento será bloqueado se os domínios necessários não estiverem listados. | O provisionamento será bloqueado se a fonte de dados não estiver listada. |
| Não ativado | Não | O provisionamento é permitido mesmo que os domínios não estejam listados. | O provisionamento é permitido mesmo que a fonte de dados não esteja listada. |
Exemplos de cenários
Para entender como essas políticas interagem, considere os exemplos a seguir.
Permitir o Google Drive com proteção do VPCSC
Você quer permitir que os usuários criem um repositório de dados do Google Drive.
| Configuração |
|---|
| O projeto é protegido por um perímetro do VPC Service Controls, e o estado do VPCSC é Ativado. |
| Requisito |
Para criar o repositório de dados, adicione
google_drive à política Restringir fontes de dados permitidas para conectores de dados. |
| Por quê? |
| O sistema permite a conexão e os FQDNs conhecidos do Google Drive. Não é necessário atualizar a política Restringir domínios de saída para conectores de dados. |
Como permitir um servidor MCP personalizado com proteção do VPCSC
Você quer permitir que os usuários criem um repositório de dados personalizado do MCP que se conecte a `api.cymbal.com`.
| Configuração |
|---|
| O projeto é protegido por um perímetro do VPC Service Controls (estado do VPCSC: Ativado). |
| Requisito |
Para criar o repositório de dados e permitir que ele se conecte ao
api.cymbal.com, é necessário:
|
| Por quê? |
| Quando o VPC Service Controls está ativado, as políticas são aplicadas automaticamente. O MCP personalizado exige que você permita explicitamente os FQDNs. |
Fonte de dados de terceiros (Jira) sem proteção do VPCSC
Uma organização quer permitir que os usuários criem um repositório de dados para uma fonte de dados de terceiros, o Jira, em um projeto que não está sujeito à aplicação.
| Configuração |
|---|
O projeto não está protegido por um perímetro do VPC Service Controls e não está listado
em enforcedProjects. |
| Requisito |
| Não é necessário atualizar as políticas da organização. |
| Por quê? |
| Como a aplicação padrão está desativada, não é necessário permitir explicitamente a fonte de dados ou os FQDNs dela. |