Benutzerdefinierte Organisationsrichtlinien für Zulassungsrichtlinien verwenden

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Beschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Google Cloud -Ressourcen einzuschränken:

• iam.googleapis.com/AllowPolicy

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Beschränkungen

Mit dem Organisationsrichtliniendienst von Google Cloud können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Beschränkungen, die für Ressourcen vonGoogle Cloud und nachfolgende Elemente dieser Ressourcen in der Ressourcenhierarchie vonGoogle Cloud gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Beschränkungen für verschiedene Dienste von Google Cloud . Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien beschränkt werden, können Sie auch benutzerdefinierte Beschränkungen erstellen und diese benutzerdefinierten Beschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Bewertung der Hierarchie.

Vorteile

Sie können benutzerdefinierte Organisationsrichtlinien verwenden, die auf IAM-Attribute verweisen, um zu steuern, wie Ihre „allow“-Richtlinien geändert werden können. Konkret können Sie Folgendes steuern:

• Wer kann Rollen erhalten?
• Wem können Rollen entzogen werden?
• Welche Rollen können zugewiesen werden?
• Welche Rollen können widerrufen werden?

So können Sie beispielsweise verhindern, dass Rollen, die das Wort admin enthalten, Hauptkonten zugewiesen werden, deren E-Mail-Adressen auf @gmail.com enden.

Beschränkungen

• Benutzerdefinierte Organisationsrichtlinien im Probebetrieb, die auf IAM-Attribute verweisen, unterliegen einigen Einschränkungen. Bei Audit-Logs für Verstöße, bei denen die Methode setIamPolicy verwendet wird, fehlen möglicherweise die folgenden Felder:

  • resourceName
  • serviceName
  • methodName

• Audit-Logs werden nicht für alle benutzerdefinierten Organisationsrichtlinienverstöße im Zusammenhang mit IAM generiert. Wenn eine benutzerdefinierte Organisationsrichtlinie dazu führt, dass ein setIamPolicy-Vorgang für die Organisationsressource fehlschlägt, wird vonGoogle Cloud kein Audit-Log für dieses Ereignis generiert.

• Benutzerdefinierte Organisationsrichtlinien, die auf IAM-Attribute verweisen, wirken sich nicht auf Folgendes aus:

  • Standardmäßige Berechtigungen durch Cloud Storage-ACLs.
  • Automatische Rollenzuweisungen für Cloud Storage-Convenience-Werte und BigQuery-Standarddatasetzugriff.
  • Rollen, die durch Standardzulassungsrichtlinien gewährt werden, z. B. wenn einem Projektersteller automatisch die Rolle „Inhaber“ (roles/owner) für das Projekt zugewiesen wird.

• Nutzer können Einladungen erhalten, Inhaber zu werden, auch wenn Sie eine benutzerdefinierte Organisationsrichtlinie haben, die die Zuweisung der Inhaberrolle (roles/owner) verhindert. Die benutzerdefinierte Organisationsrichtlinie verhindert zwar nicht, dass eine Einladung gesendet wird, aber sie verhindert, dass eingeladenen Nutzern die Rolle „Inhaber“ zugewiesen wird. Wenn eingeladene Nutzer versuchen, die Einladung anzunehmen, wird ein Fehler angezeigt und sie erhalten nicht die Inhaberrolle.

• Bei einigen Aktionen in Google Cloud, z. B. beim Erstellen von Ressourcen oder Aktivieren von APIs, wird automatisch eine Rolle für einen Dienst-Agenten oder ein Standarddienstkonto gewährt. Wenn bei einer Aktion automatisch eine Rolle gewährt wird und eine Organisationsrichtlinie verhindert, dass diese Rolle gewährt wird, kann der gesamte Vorgang fehlschlagen.

  Wenn dieses Problem auftritt, können Sie Tags verwenden, um die Einschränkung, die die Rollenzuweisung verhindert, vorübergehend zu deaktivieren. Führe dann die Aktion aus. Aktivieren Sie die Einschränkung nach Abschluss der Aktion wieder.

Hinweise

• Wenn Sie benutzerdefinierte Organisationsrichtlinien testen möchten, die auf IAM-Ressourcen verweisen, erstellen Sie ein neues Projekt. Das Testen dieser Organisationsrichtlinien in einem bestehenden Projekt kann Sicherheits-Workflows unterbrechen.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

     Roles required to select or create a project

     • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
     • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
     Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation
• Die auf dieser Seite beschriebenen Organisationsrichtlinien testen: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind für die Verwaltung von Organisationsrichtlinien erforderlich:

• orgpolicy.* für die Organisation
• Testen Sie die auf dieser Seite beschriebenen Organisationsrichtlinien: resourcemanager.projects.setIamPolicy im Projekt

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Beschränkung einrichten

Eine benutzerdefinierte Beschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Beschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Beschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Beschränkungen erstellen und verwalten.

Console

So erstellen Sie eine benutzerdefinierte Einschränkung:

1. Wechseln Sie in der Google Cloud Console zur Seite Organisationsrichtlinien.

   Zu den Organisationsrichtlinien

2. Wählen Sie in der Projektauswahl das Projekt aus, für das Sie die Organisationsrichtlinie festlegen möchten.
3. Klicken Sie auf Benutzerdefinierte Einschränkung.
4. Geben Sie im Feld Anzeigename einen nutzerfreundlichen Namen für die Einschränkung ein. Dieser Name wird in Fehlermeldungen verwendet und kann zur Identifizierung und Fehlerbehebung genutzt werden. Verwenden Sie keine personenidentifizierbaren Informationen oder vertraulichen Daten in Anzeigenamen, da dieser Name in Fehlermeldungen angezeigt werden kann. Dieses Feld kann bis zu 200 Zeichen enthalten.
5. Geben Sie im Feld Einschränkungs-ID den gewünschten Namen für die neue benutzerdefinierte Einschränkung ein. Eine benutzerdefinierte Einschränkung darf nur Buchstaben (Groß- und Kleinbuchstaben) oder Ziffern enthalten, z. B. custom.disableGkeAutoUpgrade. Dieses Feld kann bis zu 70 Zeichen enthalten. Das Präfix (custom.) wird nicht gezählt, z. B. organizations/123456789/customConstraints/custom. Die Einschränkungs-ID darf keine personenidentifizierbaren Informationen oder vertraulichen Daten enthalten, da diese in Fehlermeldungen angezeigt werden können.
6. Geben Sie im Feld Beschreibung eine für Menschen lesbare Beschreibung der Einschränkung ein. Diese Beschreibung wird als Fehlermeldung verwendet, wenn gegen die Richtlinie verstoßen wird. Geben Sie Details dazu an, warum der Richtlinienverstoß aufgetreten ist und wie er behoben werden kann. Nehmen Sie keine personenidentifizierbaren Informationen oder vertraulichen Daten in die Beschreibung auf, da sie in Fehlermeldungen preisgegeben werden könnten. Dieses Feld kann bis zu 2.000 Zeichen enthalten.
7. Wählen Sie im Feld Ressourcentyp den Namen der Google Cloud REST-Ressource aus, die das Objekt und das Feld enthält, das Sie einschränken möchten, z. B. container.googleapis.com/NodePool. Die meisten Ressourcentypen unterstützen bis zu 20 benutzerdefinierte Einschränkungen. Wenn Sie versuchen, weitere benutzerdefinierte Einschränkungen zu erstellen, schlägt der Vorgang fehl.
8. Wählen Sie unter Methode erzwingen aus, ob die Einschränkung für eine REST-Methode CREATE oder sowohl für die Methoden CREATE als auch UPDATE erzwungen werden soll. Wenn Sie die Einschränkung mit der Methode UPDATE für eine Ressource erzwingen, die gegen die Einschränkung verstößt, werden Änderungen an dieser Ressource durch die Organisationsrichtlinie blockiert, sofern die Änderung den Verstoß nicht behebt.

Nicht alle Google Cloud Dienste unterstützen beide Methoden. Unter Unterstützte Dienste finden Sie die unterstützten Methoden für jeden Dienst.

9. Klicken Sie zum Definieren einer Bedingung auf Bedingung bearbeiten.
1. Erstellen Sie im Bereich Bedingung hinzufügen eine CEL-Bedingung, die auf eine unterstützte Dienstressource verweist, z. B. resource.management.autoUpgrade == false. Dieses Feld kann bis zu 1.000 Zeichen enthalten. Weitere Informationen zur Verwendung von CEL finden Sie unter Common Expression Language. Weitere Informationen zu den Dienstressourcen, die Sie in Ihren benutzerdefinierten Einschränkungen verwenden können, finden Sie unter Von benutzerdefinierten Einschränkungen unterstützte Dienste.
2. Klicken Sie auf Speichern.
10. Wählen Sie unter Aktion aus, ob die ausgewertete Methode zugelassen oder abgelehnt werden soll, wenn die Bedingung erfüllt ist.

Die Aktion „Verweigern“ bedeutet, dass der Vorgang zum Erstellen oder Aktualisieren der Ressource blockiert wird, wenn die Bedingung als „true“ ausgewertet wird.

Die Aktion „Zulassen“ bedeutet, dass der Vorgang zum Erstellen oder Aktualisieren der Ressource nur zulässig ist, wenn die Bedingung als „true“ ausgewertet wird. Alle anderen Fälle, die nicht explizit in der Bedingung aufgeführt sind, werden blockiert.

11. Klicken Sie auf Einschränkung erstellen.

Wenn Sie in jedes Feld einen Wert eingegeben haben, wird rechts die entsprechende YAML-Konfiguration für diese benutzerdefinierte Einschränkung angezeigt.

gcloud

1. Zum Erstellen einer benutzerdefinierten Beschränkung erstellen Sie eine YAML-Datei im folgenden Format:

      name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
      resourceTypes:
      - RESOURCE_NAME
      methodTypes:
      - CREATE
- UPDATE 
      condition: "CONDITION"
      actionType: ACTION
      displayName: DISPLAY_NAME
      description: DESCRIPTION
      

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.
• CONSTRAINT_NAME: der Name, den Sie für Ihre neue benutzerdefinierte Einschränkung verwenden möchten. Eine benutzerdefinierte Einschränkung darf nur Buchstaben (Groß- und Kleinbuchstaben) oder Ziffern enthalten, z. B. custom.denyProjectIAMAdmin. Dieses Feld kann bis zu 70 Zeichen enthalten.
• RESOURCE_NAME: Der vollständig qualifizierte Name der Google Cloud-Ressource, die das Objekt und das Feld enthält, das Sie einschränken möchten. Beispiel: iam.googleapis.com/AllowPolicy.
• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld kann bis zu 1.000 Zeichen enthalten. Beispiel: resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen.

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Mögliche Werte sind ALLOW und DENY.

Die Aktion „allow“ bedeutet, dass der Vorgang zum Erstellen oder Aktualisieren der Ressource zulässig ist, wenn die Bedingung als „true“ ausgewertet wird. Das bedeutet auch, dass jeder andere Fall als der, der explizit in der Bedingung aufgeführt ist, blockiert wird.

Die Aktion „Verweigern“ bedeutet, dass der Vorgang zum Erstellen oder Aktualisieren der Ressource blockiert wird, wenn die Bedingung als „true“ ausgewertet wird.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Einschränkung. Dieses Feld kann bis zu 200 Zeichen enthalten.
• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Einschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird. Dieses Feld kann bis zu 2.000 Zeichen enthalten.
2. Nachdem Sie die YAML-Datei für eine neue benutzerdefinierte Einschränkung erstellt haben, müssen Sie sie einrichten, um sie für Organisationsrichtlinien in Ihrer Organisation verfügbar zu machen. Verwenden Sie zum Einrichten einer benutzerdefinierten Einschränkung den Befehl gcloud org-policies set-custom-constraint:

        gcloud org-policies set-custom-constraint CONSTRAINT_PATH
      

Ersetzen Sie CONSTRAINT_PATH durch den vollständigen Pfad zu Ihrer benutzerdefinierten Einschränkungsdatei. Beispiel: /home/user/customconstraint.yaml.

Nach Abschluss des Vorgangs sind Ihre benutzerdefinierten Einschränkungen als Organisationsrichtlinien in der Liste der Organisationsrichtlinien von Google Cloud verfügbar.

3. Prüfen Sie mit dem Befehl gcloud org-policies list-custom-constraints, ob die benutzerdefinierte Einschränkung vorhanden ist:

      gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
      

Ersetzen Sie ORGANIZATION_ID durch die ID Ihrer Organisationsressource.

Weitere Informationen finden Sie unter Organisationsrichtlinien aufrufen.

Benutzerdefinierte Organisationsrichtlinie erzwingen

Sie können eine Beschränkung erzwingen, indem Sie eine Organisationsrichtlinie erstellen, die darauf verweist, und diese Organisationsrichtlinie dann auf eine Ressource von Google Cloud anwenden.

Console

1. Wechseln Sie in der Google Cloud Console zur Seite Organisationsrichtlinien.

   Zu den Organisationsrichtlinien

2. Wählen Sie in der Projektauswahl das Projekt aus, für das Sie die Organisationsrichtlinie festlegen möchten.
3. Wählen Sie auf der Seite Organisationsrichtlinien die gewünschte Beschränkung aus, um die Seite Richtliniendetails aufzurufen.
4. Zum Konfigurieren der Organisationsrichtlinie für diese Ressource klicken Sie auf Richtlinie verwalten.
5. Wählen Sie auf der Seite Richtlinie bearbeiten die Option Richtlinie der übergeordneten Ressource überschreiben aus.
6. Klicken Sie auf Regel hinzufügen.
7. Wählen Sie im Abschnitt Erzwingung aus, ob diese Organisationsrichtlinie erzwungen wird.
8. Klicken Sie optional auf Bedingung hinzufügen, um die Organisationsrichtlinie von einem Tag abhängig zu machen. Wenn Sie einer Organisationsrichtlinie eine bedingte Regel hinzufügen, müssen Sie mindestens eine unbedingte Regel hinzufügen, da die Richtlinie sonst nicht gespeichert werden kann. Weitere Informationen finden Sie unter Organisationsrichtlinie mit Tags festlegen.
9. Klicken Sie auf Änderungen testen, um die Auswirkungen der Organisationsrichtlinie zu simulieren. Weitere Informationen finden Sie unter Änderungen an Organisationsrichtlinien mit dem Richtliniensimulator testen.
10. Klicken Sie auf Probelaufrichtlinie festlegen, um die Organisationsrichtlinie im Probelaufmodus zu erzwingen. Weitere Informationen finden Sie unter Organisationsrichtlinie im Probelaufmodus erstellen.
11. Nachdem Sie überprüft haben, ob die Organisationsrichtlinie im Probelaufmodus wie vorgesehen funktioniert, legen Sie die aktive Richtlinie fest, indem Sie auf Richtlinie festlegen klicken.

gcloud

1. Wenn Sie eine Organisationsrichtlinie mit booleschen Regeln erstellen möchten, erstellen Sie eine YAML-Richtliniendatei, die auf die Beschränkung verweist:

        name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
        spec:
          rules:
          - enforce: true
        
        dryRunSpec:
          rules:
          - enforce: true
        
      

Ersetzen Sie Folgendes:

• PROJECT_ID: das Projekt, für das Sie die Einschränkung erzwingen möchten.
• CONSTRAINT_NAME: der Name, den Sie für Ihre benutzerdefinierte Beschränkung definiert haben. Beispiel: custom.denyProjectIAMAdmin.
2. Führen Sie den folgenden Befehl mit dem Flag dryRunSpec aus, um die Organisationsrichtlinie im Probelaufmodus zu erzwingen:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=dryRunSpec
      

Ersetzen Sie POLICY_PATH durch den vollständigen Pfad zur YAML-Datei Ihrer Organisationsrichtlinie. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.

3. Nachdem Sie überprüft haben, ob die Organisationsrichtlinie im Probelaufmodus wie vorgesehen funktioniert, legen Sie die aktive Richtlinie mit dem Befehl org-policies set-policy und dem Flag spec fest:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=spec
      

Ersetzen Sie POLICY_PATH durch den vollständigen Pfad zur YAML-Datei Ihrer Organisationsrichtlinie. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.

Benutzerdefinierte Organisationsrichtlinie testen

Optional können Sie die Organisationsrichtlinie testen, indem Sie sie festlegen und dann versuchen, eine Aktion auszuführen, die durch die Richtlinie verhindert werden sollte.

Einschränkung erstellen

1. Speichern Sie die folgende Datei als constraint-deny-project-iam-admin.

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ersetzen Sie die folgenden Werte:

   • ORG_ID: Die numerische ID IhrerGoogle Cloud Organisation.
   • MEMBER_EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, mit dem Sie die benutzerdefinierte Einschränkung testen möchten. Solange die Einschränkung aktiv ist, kann diesem Hauptkonto nicht die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) für das Projekt zugewiesen werden, für das Sie die Einschränkung erzwingen.

2. Wenden Sie die Einschränkung an:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Richtlinie erstellen

1. Speichern Sie die folgende Datei als policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

2. Wenden Sie die Richtlinie an:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Richtlinie vorhanden ist:

   gcloud org-policies list --project=PROJECT_ID
   

Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Google Cloud die Richtlinie durchgesetzt hat.

Richtlinie testen

Versuchen Sie, dem Hauptkonto, dessen E-Mail-Adresse Sie in die benutzerdefinierte Einschränkung aufgenommen haben, die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) zuzuweisen. Ersetzen Sie vor dem Ausführen des Befehls folgende Werte:

• PROJECT_ID: Die ID des Google Cloud-Projekts, in dem Sie die Beschränkung erzwungen haben
• EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, das Sie beim Erstellen der Einschränkung für die Organisationsrichtlinie angegeben haben.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Die Ausgabe sieht so aus:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie die Syntax einiger benutzerdefinierter Beschränkungen für gängige Anwendungsfälle.

In den folgenden Beispielen werden die CEL-Makros all und exists verwendet. Weitere Informationen zu diesen Makros finden Sie unter Makros zum Auswerten von Listen.

Beschreibung	Einschränkungssyntax
Die Möglichkeit zum Zuweisen einer bestimmten Rolle blockieren.	name: organizations/ORG_ID/customConstraints/custom.denyRole resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameMatches(binding.role, ['ROLE']) )" actionType: DENY displayName: Do not allow the ROLE role to be granted
Es dürfen nur bestimmte Rollen zugewiesen werden.	name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) )" actionType: ALLOW displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted
Verhindern, dass Rollen gewährt werden, die mit roles/storage. beginnen	name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) )" actionType: DENY displayName: Prevent roles that start with "roles/storage." from being granted
Verhindern, dass Rollen mit admin im Namen widerrufen werden	name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, RoleNameContains(binding.role, ['admin']) )" actionType: DENY displayName: Prevent roles with "admin" in their names from being revoked
Rollen dürfen nur bestimmten Hauptkonten zugewiesen werden.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT']) ) )" actionType: ALLOW displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT
Verhindern, dass Rollen von bestimmten Hauptkonten widerrufen werden.	name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectMatches(member, ['user:USER_1','user:USER_2']) ) )" actionType: DENY displayName: Do not allow roles to be revoked from USER_1 or USER_2
Verhindern, dass Hauptkonten mit E‑Mail-Adressen, die mit @gmail.com enden, Rollen erhalten.	name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectEndsWith(member, ['@gmail.com']) ) )" actionType: DENY displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Nur bestimmte Rollen dürfen bestimmten Hauptkonten zugewiesen werden.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) && binding.members.all(member, MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP']) ) )" actionType: ALLOW displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP
Verhindern, dass Cloud Storage-Rollen für allUsers und allAuthenticatedUsers gewährt werden.	name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) && binding.members.exists(member, MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers']) ) )" actionType: DENY displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers
Verhindern, dass Identitäten außerhalb Ihrer Organisation Rollen zugewiesen werden	name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID']) ) )" actionType: ALLOW displayName: Only allow organization members to be granted roles
Rollen dürfen nur Dienstkonten zugewiesen werden.	name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount']) ) )" actionType: ALLOW displayName: Only allow service accounts to be granted roles
Entfernen von von Google verwalteten Dienst-Agents aus Rollenbindungen verhindern	name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfGoogleManagedServiceAgents resource_types: iam.googleapis.com/AllowPolicy method_types: - REMOVE_GRANT condition: |- resource.bindings.all( binding, binding.members.all(member, MemberTypeMatches(member, ['iam.googleapis.com/ServiceAgent']) ) ) action_type: DENY display_name: Deny Removal Of Google-Managed Service Agents description: Restricts the removal of Google-managed service agents from role bindings. Please reach out to your organization admins for if you have any questions.

Bedingte Organisationsrichtlinien

Sie können eine benutzerdefinierte Organisationsrichtlinie mithilfe von Tags bedingt festlegen. Angenommen, Sie haben die folgende benutzerdefinierte Einschränkung geschrieben, um zu verhindern, dass Rollen, die mit roles/storage. beginnen, gewährt werden:

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

Wenn Sie die Einschränkung bedingt erzwingen möchten, können Sie eine Organisationsrichtlinie wie die folgende erstellen:

name: organizations/ORG_ID/policies/custom.dontgrantStorageRoles
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORG_ID/environment', 'dev')"
    enforce: true
  - enforce: false

Diese Organisationsrichtlinie verhindert, dass Rollen, die mit roles/storage. beginnen, für Ressourcen gewährt werden, die auch das Tag environment=dev haben.

Von Identity and Access Management unterstützte Ressourcen

IAM unterstützt die Ressource AllowPolicy. Diese Ressource hat das Attribut resources.bindings, das für alle Methoden zurückgegeben wird, mit denen die Zulassungsrichtlinie einer Ressource geändert wird. Alle Methoden, mit denen die Zulassungsrichtlinie einer Ressource geändert wird, enden mit setIamPolicy.

Das Attribut resource.bindings hat die folgende Struktur, wobei BINDINGS ein Array von Rollenbindungen ist, die bei einer Änderung einer Zulassungsrichtlinie geändert wurden:

{
  "bindings": {
    BINDINGS
  }
}

Jede Bindung in resource.bindings hat die folgende Struktur, wobei ROLE der Name der Rolle in der Rollenbindung und MEMBERS eine Liste von Kennungen für alle Hauptkonten ist, die der Rollenbindung hinzugefügt oder daraus entfernt wurden:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Informationen zu den Formaten, die Hauptkonto-IDs haben können, finden Sie unter Hauptkonto-IDs.

Sie können das Attribut resource.bindings und seine Felder nur mit den unterstützten Funktionen auswerten. Andere Operatoren und Funktionen wie ==, !=, in, contains, startsWith und endsWith werden nicht unterstützt.

Unterstützte Funktionen

Mit den folgenden CEL-Funktionen können Sie einzelne Rollen und Mitglieder in einer Bindung auswerten.

Wenn Sie alle Bindungen im bindings-Array oder alle Elemente im members-Array auswerten möchten, verwenden Sie die Makros all und exists. Weitere Informationen finden Sie auf dieser Seite unter Makros zum Auswerten von Listen.

Sie können auch die logischen Operatoren && (and) und || (or) verwenden, um mehrteilige Bedingungen zu schreiben.

Funktion	Beschreibung
RoleNameMatches(   role,   roleNames: list )   bool	Gibt true zurück, wenn die Rolle role vollständig mit mindestens einer der in roleNames aufgeführten Rollen übereinstimmt. Parameter role: die auszuwertende Rolle. roleNames: Eine Liste von Rollennamen, die abgeglichen werden sollen. Beispiel Gibt true zurück, wenn die role im angegebenen binding gleich roles/storage.admin oder roles/compute.admin ist: RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
RoleNameStartsWith(   role,   rolePrefixes: list )   bool	Gibt true zurück, wenn die Rolle role mit mindestens einem der in rolePrefixes aufgeführten Strings beginnt. Parameter role: die auszuwertende Rolle. rolePrefixes: Eine Liste von Strings, die mit dem Beginn der Rolle abgeglichen werden sollen. Beispiel Gibt true zurück, wenn die role in der angegebenen binding mit roles/storage beginnt: RoleNameStartsWith(binding.role, ['roles/storage'])
RoleNameEndsWith(   role,   roleSuffixes: list )   bool	Gibt true zurück, wenn die Rolle role mit mindestens einem der in roleSuffixes aufgeführten Strings endet. Parameter role: die auszuwertende Rolle. roleSuffixes: Eine Liste von Strings, die mit dem Ende der Rolle abgeglichen werden sollen. Beispiel Gibt true zurück, wenn die role in der angegebenen binding mit .admin endet: RoleNameEndsWith(binding.role, ['.admin'])
RoleNameContains(   role,   roleSubstrings: list )   bool	Gibt true zurück, wenn die Rolle role mindestens einen der in roleSubstrings aufgeführten Strings enthält. Parameter role: die auszuwertende Rolle. roleSubstrings: Eine Liste von Strings, die mit einem beliebigen Teil der Rolle übereinstimmen sollen. Beispiel Gibt true zurück, wenn die role in der angegebenen binding den String admin enthält: RoleNameContains(binding.role, ['admin'])
MemberSubjectMatches(   member,   memberNames: list )   bool	Gibt true zurück, wenn das Mitglied member vollständig mit mindestens einem der in memberNames aufgeführten Mitglieder übereinstimmt. Wenn die Kennung für member eine E-Mail-Adresse ist, werden mit dieser Funktion sowohl die E-Mail-Adresse als auch alle Aliasse für diese E-Mail-Adresse ausgewertet. Parameter member: Das zu bewertende Mitglied. memberNames: Eine Liste von Mitgliedernamen, die abgeglichen werden sollen. Beispiel Gibt true zurück, wenn das Mitglied member [e-mail] ist: MemberSubjectMatches(member, ['user:[e-mail]'])
MemberSubjectStartsWith(   member,   memberPrefixes: list )   bool	Gibt true zurück, wenn das Element member mit mindestens einem der in memberPrefixes aufgeführten Strings beginnt. Wenn die Kennung für member eine E-Mail-Adresse ist, werden mit dieser Funktion sowohl die E-Mail-Adresse als auch alle Aliasse für diese E-Mail-Adresse ausgewertet. Parameter member: Das zu bewertende Mitglied. memberPrefixes: Eine Liste von Strings, die mit dem Anfang des Mitgliedernamens abgeglichen werden. Beispiel Gibt true zurück, wenn das Element member mit user:prod- beginnt: MemberSubjectStartsWith(member, ['user:prod-'])
MemberSubjectEndsWith(   member,   memberSuffixes: list )   bool	Gibt true zurück, wenn das Mitglied member mit mindestens einem der in memberSuffixes aufgeführten Strings endet. Wenn die Kennung für member eine E-Mail-Adresse ist, werden mit dieser Funktion sowohl die E-Mail-Adresse als auch alle Aliasse für diese E-Mail-Adresse ausgewertet. Parameter member: Das zu bewertende Mitglied. memberSuffixes: Eine Liste von Strings, die mit dem Ende des Mitgliedsnamens abgeglichen werden sollen. Beispiel Gibt true zurück, wenn das Mitglied member mit @example.com endet: MemberSubjectEndsWith(member, ['@example.com'])
MemberInPrincipalSet(   member,   principalSets: list )   bool	Gibt true zurück, wenn das Mitglied mindestens einer der aufgeführten Hauptkontogruppen angehört. Parameter member: Das zu bewertende Mitglied. principalSets: Eine Liste von Hauptkontosets. Damit die Funktion true ergibt, muss das Mitglied in mindestens einer dieser Hauptkontogruppen sein. Die einzige unterstützte Hauptkontogruppe ist die Hauptkontogruppe der Organisation mit dem Format //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID. Wenn diese Gruppe von Hauptkonten in der Funktion MemberInPrincipalSet verwendet wird, enthält sie die folgenden Hauptkonten: Alle Identitäten in allen Domains, die mit Ihrer Google Workspace-Kundennummer verknüpft sind Alle Workforce Identity-Pools in Ihrer Organisation Alle Dienstkonten und Workload Identity-Pools in allen Projekten in der Organisation Alle Dienst-Agents, die mit Ressourcen in Ihrer Organisation verknüpft sind. Beispiel Gibt true zurück, wenn das Mitglied member zur Organisation @example.com mit der ID 123456789012 gehört: MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
MemberTypeMatches(   member,   principalType: list )   bool	Gibt true zurück, wenn das Mitglied einer der aufgeführten Prinzipaltypen ist. Parameter member: Das zu bewertende Mitglied. principalType: Eine Liste von Hauptkontotypen. Damit die Funktion als true ausgewertet wird, muss das Mitglied einer der aufgeführten Hauptkontotypen sein. Informationen zu den unterstützten Hauptkontotypen finden Sie unter Unterstützte Hauptkontotypen für MemberTypeMatches. Beispiel Gibt true zurück, wenn das Mitglied member den Prinzipaltyp iam.googleapis.com/WorkspacePrincipal oder iam.googleapis.com/WorkspaceGroup hat: MemberTypeMatches(member, ['iam.googleapis.com/WorkspacePrincipal', 'iam.googleapis.com/WorkspaceGroup'])

Makros zum Auswerten von Listen

Mit den Makros all und exists können Sie einen Bedingungsausdruck für eine Liste von Elementen auswerten.

Makro	Beschreibung
list.all(   item,   conditionExpression )   bool	Gibt true zurück, wenn conditionExpression für jedes item in list als true ausgewertet wird. Dieses Makro wird in der Regel für benutzerdefinierte Organisationsrichtlinien mit dem actionType ALLOW verwendet. Mit diesem Makro können Sie beispielsweise dafür sorgen, dass eine Aktion nur zulässig ist, wenn alle geänderten Hauptkonten die Bedingung erfüllen. Parameter list: die Liste der zu bewertenden Elemente. item: Das zu bewertende Listenelement. Wenn Sie diese Methode beispielsweise für die Liste resource.bindings aufrufen, verwenden Sie den Wert binding. conditionExpression: Der Bedingungsausdruck, anhand dessen jeder item ausgewertet werden soll. Beispiel Gibt true zurück, wenn alle Bindungen in resource.bindings Rollen haben, die mit roles/storage. beginnen. Gibt false zurück, wenn eine der Bindungen Rollen enthält, die nicht mit roles/storage. beginnen: resource.bindings.all(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))
list.exists(   item,   conditionExpression )   bool	Gibt true zurück, wenn conditionExpression für beliebige item in list als true ausgewertet wird. Dieses Makro wird in der Regel für benutzerdefinierte Organisationsrichtlinien mit actionType DENY verwendet. Sie können dieses Makro beispielsweise verwenden, um sicherzustellen, dass eine Aktion abgelehnt wird, wenn einer der geänderten Principals die Bedingung erfüllt. Parameter list: die Liste der zu bewertenden Elemente. item: Das zu bewertende Listenelement. Wenn Sie diese Methode beispielsweise für die Liste resource.bindings aufrufen, verwenden Sie den Wert binding. conditionExpression: Der Bedingungsausdruck, anhand dessen jeder item ausgewertet werden soll. Beispiel Gibt true zurück, wenn für eine der Bindungen in resource.bindings Rollen vorhanden sind, die mit roles/storage. beginnen. Gibt false zurück, wenn keine der Bindungen Rollen hat, die mit roles/storage. beginnen: resource.bindings.exists(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))

Bedingungen mit verschachtelten Listen

Wenn Ihre Bedingung verschachtelte Listen enthält, sollten Sie in der Regel dasselbe Makro für alle Listen in der Bedingung verwenden.

Betrachten Sie hierzu folgende Beispiele:

• Wenn Ihre Richtlinie actionType ALLOW enthält, verwenden Sie das Makro all sowohl für die Liste members als auch für die Liste bindings, damit Richtlinienänderungen nur zulässig sind, wenn alle Mitglieder in allen geänderten Bindungen die Bedingung erfüllen.
• Wenn Ihre Richtlinie die actionType DENY enthält, verwenden Sie das Makro exists sowohl für die Liste members als auch für die Liste bindings, um sicherzustellen, dass Richtlinienänderungen nicht zulässig sind, wenn ein beliebiges Mitglied in einer beliebigen geänderten Bindung die Bedingung erfüllt.

Wenn Sie Makros in einer einzelnen Bedingung kombinieren, kann es sein, dass sich die Bedingung nicht wie erwartet verhält.

Angenommen, Sie möchten verhindern, dass Rollen Mitgliedern außerhalb der Organisation example.com zugewiesen werden. Die Organisation example.com hat die ID 123456789012.

Dazu schreiben Sie die folgende Bedingung:

Nicht empfohlen: falsch konfigurierte Bedingung

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Diese Bedingung verhindert anscheinend, dass Mitgliedern außerhalb der Organisation example.com Rollen zugewiesen werden. Die Bedingung wird jedoch als true ausgewertet, wenn ein beliebiges Mitgliedexample.comder Organisation in jeder der geänderten Rollenbindungen enthalten ist. Daher können Sie Mitgliedern außerhalb der Organisation example.com weiterhin Rollen zuweisen, wenn Sie auch einem Mitglied in der Organisation example.com dieselbe Rolle zuweisen.

Die Bedingung wird beispielsweise für die folgende Gruppe von Bindungen als true ausgewertet, obwohl eines der Mitglieder nicht zur Organisation example.com gehört:

 "bindings": [
    {
      "members": [
        "user:[e-mail]",
        "user:[e-mail]"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Stattdessen sollten Sie eine Bedingung wie die folgende schreiben:

Empfohlen: Bedingung ist richtig konfiguriert

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Wenn Sie das Makro all sowohl für das Array members.bindings als auch für das Array resource.bindings verwenden, wird die Bedingung nur dann als true ausgewertet, wenn alle Mitglieder in allen Bindungen in der Prinzipalgruppe example.com enthalten sind.

Unterstützte Hauptkontotypen für MemberTypeMatches

Für die Funktion MemberTypeMatches müssen Sie angeben, welchem Prinzipaltyp das angegebene Mitglied entsprechen muss.

In der folgenden Tabelle sind die Hauptkontotypen aufgeführt, die Sie eingeben können, sowie eine Beschreibung der jeweiligen Hauptkontotypen. Außerdem werden die Hauptkontokennungen aufgeführt, die den einzelnen Hauptkontotypen entsprechen. Diese Kennungen sind die Werte, die in IAM-Richtlinien verwendet werden.

Hauptkonto-Typ	Beschreibung	Hauptkonto-Kennungen
iam.googleapis.com/ConsumerPrincipal	Ein privates Google-Konto. Die E‑Mail-Adressen für diese Konten enden in der Regel auf gmail.com.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/WorkspacePrincipal	Ein Google-Konto, das Teil eines Cloud Identity- oder Google Workspace-Kontos ist. Diese Konten werden auch als verwaltete Nutzerkonten bezeichnet.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/ConsumerGroup	Eine Google-Gruppe, die mit einem privaten Google-Konto erstellt wurde. Diese Gruppen gehören nicht zu einem Cloud Identity- oder Google Workspace-Konto. Die E-Mail-Adressen für diese Gruppen enden normalerweise auf googlegroups.com.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/WorkspaceGroup	Eine Google-Gruppe, die einem Cloud Identity- oder Google Workspace-Konto gehört.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/Domain	Ein Cloud Identity- oder Google Workspace-Konto.	domain:DOMAIN
iam.googleapis.com/WorkforcePoolPrincipal	Ein einzelnes Prinzipal in einem Workforce Identity-Pool.	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkforcePoolPrincipalSet	Eine Gruppe von Identitäten in einem Workforce Identity-Pool. Beispiel: Eine Gruppe von Identitäten, die alle Identitäten in einem Mitarbeiteridentitätspool enthält.	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
iam.googleapis.com/WorkloadPoolPrincipal	Einzelne Identität in einem Workload Identity-Pool	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkloadPoolPrincipalSet	Eine Gruppe von Identitäten in einem Workload Identity-Pool. Beispiel: Eine Hauptkontogruppe, die alle Hauptkonten in einem Workload Identity-Pool enthält.	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
iam.googleapis.com/ServiceAccount	Ein beliebiges Dienstkonto. Ein Dienstkonto ist eine spezielle Art von Konto, das eine Arbeitslast und nicht einen menschlichen Nutzer darstellt. Im Kontext der Funktion MemberTypeMatches sind Dienst-Agents nicht in diesem Hauptkontotyp enthalten.	serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS
iam.googleapis.com/ServiceAgent	Jeder Dienst-Agent. Ein Dienst-Agent ist eine spezielle Art von Dienstkonto, das von Google Cloud erstellt und verwaltet wird. Wenn Dienst-Agents Rollen in Ihren Projekten zugewiesen werden, können Google Cloud -Dienste Aktionen in Ihrem Namen ausführen.	serviceAccount:SERVICE_AGENT_EMAIL_ADDRESS
iam.googleapis.com/PublicPrincipals	Die Hauptkonten allUsers und allAuthenticatedUsers.	allUsers allAuthenticatedUsers
iam.googleapis.com/ProjectRoleReference	Hauptkonten, die auf Grundlage der ihnen gewährten Rolle definiert werden. Diese Principals werden auch als Convenience-Werte bezeichnet.	projectOwner:PROJECT_ID projectEditor:PROJECT_ID projectViewer:PROJECT_ID
iam.googleapis.com/ResourcePrincipal	Eine Ressource mit einer integrierten Identität.	Eine der Hauptkonto-IDs, die unter Hauptkonto-IDs für einzelne Ressourcen aufgeführt sind.
iam.googleapis.com/ResourcePrincipalSet	Ressourcen mit integrierten Identitäten, die bestimmte Merkmale wie Typ oder übergeordnete Ressource gemeinsam haben.	Eine der Kennungen, die unter Hauptkonto-IDs für Ressourcensätze aufgeführt sind.

Nächste Schritte

• Weitere Informationen zum Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten.
• Eine vollständige Liste der vordefinierten Beschränkungen für Organisationsrichtlinien finden Sie hier.