Menggunakan kebijakan organisasi kustom untuk kebijakan yang diizinkan

Halaman ini menunjukkan cara menggunakan batasan kustom Layanan Kebijakan Organisasi untuk membatasi operasi tertentu pada resource Google Cloud berikut:

• iam.googleapis.com/AllowPolicy

Untuk mempelajari lebih lanjut Kebijakan Organisasi, lihat Kebijakan organisasi kustom.

Tentang batasan dan kebijakan organisasi

Layanan Kebijakan Organisasi Google Cloud memberi Anda kontrol terpusat dan terprogram atas resource organisasi Anda. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk resourceGoogle Cloud dan turunan dari resource tersebut dalam hierarki resourceGoogle Cloud . Anda dapat menerapkan kebijakan organisasi di level organisasi, folder, atau project.

Kebijakan Organisasi menyediakan batasan terkelola bawaan untuk berbagai layanan Google Cloud . Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat batasan kustom dan menggunakan batasan kustom tersebut dalam kebijakan organisasi.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari lebih lanjut perilaku ini dan cara mengubahnya, lihat Aturan evaluasi hierarki.

Manfaat

Anda dapat menggunakan kebijakan organisasi kustom yang mereferensikan atribut IAM untuk mengontrol cara kebijakan izin Anda dapat diubah. Secara khusus, Anda dapat mengontrol hal berikut:

• Siapa yang dapat diberi peran
• Siapa yang dapat dicabut perannya
• Peran mana yang dapat diberikan
• Peran mana yang dapat dibatalkan

Misalnya, Anda dapat mencegah peran yang berisi kata admin diberikan kepada akun utama yang alamat emailnya diakhiri dengan @gmail.com.

Batasan

• Kebijakan organisasi kustom dalam mode uji coba yang mereferensikan atribut IAM memiliki beberapa batasan. Yaitu, log audit untuk pelanggaran yang melibatkan metode setIamPolicy mungkin tidak memiliki kolom berikut:

  • resourceName
  • serviceName
  • methodName

• Log audit tidak dibuat untuk semua pelanggaran kebijakan organisasi kustom terkait IAM. Yaitu, jika kebijakan organisasi kustom menyebabkan operasi setIamPolicy pada resource organisasi gagal, maka Google Cloud tidak akan menghasilkan log audit untuk peristiwa tersebut.

• Kebijakan organisasi kustom yang mereferensikan atribut IAM tidak memengaruhi hal berikut:

  • Pemberian default oleh ACL Cloud Storage.
  • Pemberian peran otomatis untuk nilai kemudahan Cloud Storage dan akses set data default BigQuery.
  • Peran yang diberikan oleh kebijakan izin default—misalnya, pembuat project secara otomatis diberi peran Pemilik (roles/owner) di project tersebut.

• Pengguna dapat dikirimi undangan untuk menjadi pemilik, meskipun Anda memiliki kebijakan organisasi kustom yang mencegah pemberian peran Pemilik (roles/owner). Namun, meskipun kebijakan organisasi kustom tidak mencegah pengiriman undangan, kebijakan ini mencegah pengguna yang diundang diberi peran Pemilik. Jika pengguna yang diundang mencoba menerima undangan, mereka akan mengalami error dan tidak akan diberi peran Pemilik.

• Beberapa tindakan di Google Cloud, seperti membuat resource atau mengaktifkan API, melibatkan pemberian peran secara otomatis kepada agen layanan atau akun layanan default. Jika tindakan melibatkan pemberian peran secara otomatis dan kebijakan organisasi mencegah pemberian peran tersebut, seluruh operasi mungkin gagal.

  Jika mengalami masalah ini, Anda dapat menggunakan tag untuk menonaktifkan sementara batasan yang mencegah pemberian peran. Kemudian, lakukan tindakan. Setelah tindakan selesai, aktifkan kembali batasan.

Sebelum memulai

• Jika Anda ingin menguji kebijakan organisasi kustom yang mereferensikan resource IAM, buat project baru. Menguji kebijakan organisasi ini di project yang ada dapat mengganggu alur kerja keamanan.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

     Roles required to select or create a project

     • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
     • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
     Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Peran yang diperlukan

Guna mendapatkan izin yang Anda perlukan untuk mengelola kebijakan organisasi, minta administrator Anda untuk memberi Anda peran IAM berikut:

• Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi
• Uji kebijakan organisasi yang dijelaskan di halaman ini: Admin IAM Project (roles/resourcemanager.projectIamAdmin) pada project tersebut

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk mengelola kebijakan organisasi. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk mengelola kebijakan organisasi:

• orgpolicy.* di organisasi
• Uji kebijakan organisasi yang dijelaskan di halaman ini: resourcemanager.projects.setIamPolicy di project

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Menyiapkan batasan kustom

Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membuat kondisi dalam batasan kustom menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

Konsol

Untuk membuat batasan kustom, lakukan hal berikut:

1. Di konsol Google Cloud , buka halaman Organization policies.

   Buka Organization policies

2. Dari pemilih project, pilih project yang ingin Anda tetapkan kebijakan organisasinya.
3. Klik Custom constraint.
4. Di kotak Nama tampilan, masukkan nama yang mudah dipahami manusia untuk batasan. Nama ini digunakan dalam pesan error dan dapat digunakan untuk identifikasi dan proses debug. Jangan menggunakan PII atau data sensitif dalam nama tampilan karena nama ini dapat terekspos dalam pesan error. Kolom ini dapat berisi hingga 200 karakter.
5. Di kotak Constraint ID, masukkan nama yang diinginkan untuk batasan kustom baru. Batasan kustom hanya boleh berisi huruf (termasuk huruf besar dan huruf kecil) atau angka, misalnya custom.disableGkeAutoUpgrade. Kolom ini dapat berisi hingga 70 karakter, tidak termasuk awalan (custom.), misalnya, organizations/123456789/customConstraints/custom. Jangan sertakan PII atau data sensitif dalam ID batasan Anda, karena dapat terekspos dalam pesan error.
6. Di kotak Description, masukkan deskripsi batasan yang mudah dipahami. Deskripsi ini digunakan sebagai pesan error saat kebijakan dilanggar. Sertakan detail tentang mengapa pelanggaran kebijakan terjadi dan cara menyelesaikan pelanggaran kebijakan tersebut. Jangan sertakan PII atau data sensitif dalam deskripsi Anda, karena dapat terekspos dalam pesan error. Kolom ini dapat berisi hingga 2.000 karakter.
7. Di kotak Resource type, pilih nama resource REST Google Cloud yang berisi objek dan kolom yang ingin Anda batasi—misalnya, container.googleapis.com/NodePool. Sebagian besar jenis resource mendukung hingga 20 batasan kustom. Jika Anda mencoba membuat lebih banyak batasan kustom, operasi akan gagal.
8. Di bagian Enforcement method, pilih apakah akan menerapkan batasan pada metode CREATE REST atau pada metode CREATE dan UPDATE. Jika Anda menerapkan batasan dengan metode UPDATE pada resource yang melanggar batasan, perubahan pada resource tersebut akan diblokir oleh kebijakan organisasi kecuali jika perubahan tersebut menyelesaikan pelanggaran.

Tidak semua layanan Google Cloud mendukung kedua metode tersebut. Untuk melihat metode yang didukung untuk setiap layanan, temukan layanan di Layanan yang didukung.

9. Untuk menentukan kondisi, klik Edit kondisi.
1. Di panel Add condition, buat kondisi CEL yang mengacu pada resource layanan yang didukung, misalnya, resource.management.autoUpgrade == false. Kolom ini dapat berisi hingga 1.000 karakter. Untuk mengetahui detail tentang penggunaan CEL, lihat Common Expression Language. Untuk mengetahui informasi selengkapnya tentang resource layanan yang dapat Anda gunakan dalam batasan kustom, lihat Layanan yang didukung batasan kustom.
2. Klik Simpan.
10. Di bagian Action, pilih apakah akan mengizinkan atau menolak metode yang dievaluasi jika kondisi terpenuhi.

Tindakan penolakan berarti operasi untuk membuat atau mengupdate resource diblokir jika kondisi dievaluasi menjadi benar.

Tindakan izinkan berarti operasi untuk membuat atau memperbarui resource hanya diizinkan jika kondisi bernilai benar. Setiap kasus lainnya, kecuali yang tercantum secara eksplisit dalam kondisi, akan diblokir.

11. Klik Create constraint.

Setelah Anda memasukkan nilai ke setiap kolom, konfigurasi YAML yang setara untuk batasan khusus ini akan muncul di sebelah kanan.

gcloud

1. Untuk membuat batasan kustom, buat file YAML menggunakan format berikut:

      name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
      resourceTypes:
      - RESOURCE_NAME
      methodTypes:
      - CREATE
- UPDATE 
      condition: "CONDITION"
      actionType: ACTION
      displayName: DISPLAY_NAME
      description: DESCRIPTION
      

Ganti kode berikut:

• ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.
• CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom hanya boleh berisi huruf (termasuk huruf besar dan huruf kecil) atau angka, misalnya, custom.denyProjectIAMAdmin. Kolom ini dapat berisi hingga 70 karakter.
• RESOURCE_NAME: nama lengkap resource Google Cloud yang berisi objek dan kolom yang ingin Anda batasi. Misalnya, iam.googleapis.com/AllowPolicy.
• CONDITION: Kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini dapat berisi hingga 1000 karakter. Misalnya, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

Untuk mengetahui informasi selengkapnya tentang resource yang tersedia untuk menulis kondisi, lihat Resource yang didukung.

• ACTION: tindakan yang akan diambil jika condition terpenuhi. Nilai yang mungkin adalah ALLOW dan DENY.

Tindakan izinkan berarti jika kondisi bernilai benar, operasi untuk membuat atau memperbarui resource diizinkan. Artinya juga bahwa setiap kasus lain kecuali yang tercantum secara eksplisit dalam kondisi diblokir.

Tindakan penolakan berarti bahwa jika kondisi bernilai benar, operasi untuk membuat atau memperbarui resource akan diblokir.

• DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini dapat berisi hingga 200 karakter.
• DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini dapat berisi hingga 2.000 karakter.
2. Setelah membuat file YAML untuk batasan kustom baru, Anda harus menyiapkannya agar tersedia untuk kebijakan organisasi di organisasi Anda. Untuk menyiapkan batasan kustom, gunakan perintah gcloud org-policies set-custom-constraint:

        gcloud org-policies set-custom-constraint CONSTRAINT_PATH
      

Ganti CONSTRAINT_PATH dengan jalur lengkap ke file batasan kustom Anda. Contoh, /home/user/customconstraint.yaml.

Setelah operasi ini selesai, batasan kustom Anda tersedia sebagai kebijakan organisasi dalam daftar kebijakan organisasi Google Cloud .

3. Untuk memverifikasi bahwa ada batasan kustom, gunakan perintah gcloud org-policies list-custom-constraints:

      gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
      

Ganti ORGANIZATION_ID dengan ID fasilitas organisasi Anda.

Untuk mengetahui informasi selengkapnya, lihat Melihat kebijakan organisasi.

Menerapkan kebijakan organisasi kustom

Anda dapat menerapkan batasan dengan membuat kebijakan organisasi yang mereferensikannya, lalu menerapkan kebijakan organisasi tersebut ke resource Google Cloud .

Konsol

1. Di konsol Google Cloud , buka halaman Organization policies.

   Buka Organization policies

2. Dari pemilih project, pilih project yang ingin Anda tetapkan kebijakan organisasinya.
3. Dari daftar di halaman Organization policies, pilih batasan Anda untuk melihat halaman Policy details untuk batasan tersebut.
4. Guna mengonfigurasi kebijakan organisasi untuk resource ini, klik Manage policy.
5. Di halaman Edit policy, pilih Override parent's policy.
6. Klik Add a rule.
7. Di bagian Penerapan, pilih apakah kebijakan organisasi ini diterapkan atau tidak.
8. Opsional: Agar kebijakan organisasi menjadi bersyarat pada tag, klik Add condition. Perhatikan bahwa jika menambahkan aturan kondisional ke kebijakan organisasi, Anda harus menambahkan setidaknya satu aturan tanpa syarat atau kebijakan tidak dapat disimpan. Untuk mengetahui informasi selengkapnya, lihat Menetapkan kebijakan organisasi dengan tag.
9. Klik Test changes untuk menyimulasikan efek kebijakan organisasi. Untuk mengetahui informasi selengkapnya, lihat Menguji perubahan kebijakan organisasi dengan Policy Simulator.
10. Untuk menerapkan kebijakan organisasi dalam mode uji coba, klik Set dry run policy. Untuk informasi selengkapnya, lihat Membuat kebijakan organisasi dalam mode uji coba.
11. Setelah Anda memverifikasi bahwa kebijakan organisasi dalam mode uji coba berfungsi sebagaimana mestinya, tetapkan kebijakan aktif dengan mengklik Tetapkan kebijakan.

gcloud

1. Untuk membuat kebijakan organisasi dengan aturan boolean, buat file YAML kebijakan yang mereferensikan batasan:

        name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
        spec:
          rules:
          - enforce: true
        
        dryRunSpec:
          rules:
          - enforce: true
        
      

Ganti kode berikut:

• PROJECT_ID: project tempat Anda ingin menerapkan batasan.
• CONSTRAINT_NAME: nama yang Anda tentukan untuk batasan kustom. Contoh, custom.denyProjectIAMAdmin.
2. Untuk menerapkan kebijakan organisasi dalam mode uji coba, jalankan perintah berikut dengan tanda dryRunSpec:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=dryRunSpec
      

Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

3. Setelah Anda memverifikasi bahwa kebijakan organisasi dalam mode uji coba berfungsi sebagaimana mestinya, tetapkan kebijakan aktif dengan perintah org-policies set-policy dan tanda spec:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=spec
      

Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

Menguji kebijakan organisasi kustom

Secara opsional, Anda dapat menguji kebijakan organisasi dengan menetapkan kebijakan, lalu mencoba melakukan tindakan yang seharusnya dicegah oleh kebijakan tersebut.

Membuat batasan

1. Simpan file berikut sebagai constraint-deny-project-iam-admin.

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ganti nilai berikut:

   • ORG_ID: ID numerik Google Cloud organisasi Anda.
   • MEMBER_EMAIL_ADDRESS: alamat email principal yang ingin Anda gunakan untuk menguji batasan kustom. Selama batasan aktif, akun utama ini tidak akan dapat diberi peran Admin IAM Project (roles/resourcemanager.projectIamAdmin) di project tempat Anda menerapkan batasan.

2. Terapkan batasan:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Pastikan batasan ada:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Membuat kebijakan

1. Simpan file berikut sebagai policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ganti PROJECT_ID dengan project ID Anda.

2. Terapkan kebijakan:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Pastikan kebijakan ada:

   gcloud org-policies list --project=PROJECT_ID
   

Setelah Anda menerapkan kebijakan, tunggu sekitar dua menit hingga Google Cloud mulai menerapkan kebijakan tersebut.

Menguji kebijakan

Coba berikan peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) kepada akun utama yang alamat emailnya Anda sertakan dalam batasan kustom. Sebelum menjalankan perintah, ganti nilai berikut:

• PROJECT_ID: ID project tempat Anda menerapkan batasan Google Cloud
• EMAIL_ADDRESS: Alamat email prinsipal yang Anda tentukan saat membuat batasan kebijakan organisasi.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Outputnya adalah sebagai berikut:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Contoh kebijakan organisasi kustom untuk kasus penggunaan umum

Tabel berikut memberikan sintaksis beberapa batasan kustom untuk kasus penggunaan umum.

Contoh berikut menggunakan makro CEL all dan exists. Untuk mengetahui informasi selengkapnya tentang makro ini, lihat Makro untuk mengevaluasi daftar.

Deskripsi	Sintaksis batasan
Memblokir kemampuan untuk memberikan peran tertentu.	name: organizations/ORG_ID/customConstraints/custom.denyRole resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameMatches(binding.role, ['ROLE']) )" actionType: DENY displayName: Do not allow the ROLE role to be granted
Hanya izinkan pemberian peran tertentu.	name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) )" actionType: ALLOW displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted
Mencegah pemberian peran apa pun yang diawali dengan roles/storage..	name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) )" actionType: DENY displayName: Prevent roles that start with "roles/storage." from being granted
Mencegah pencabutan peran apa pun dengan admin dalam namanya.	name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, RoleNameContains(binding.role, ['admin']) )" actionType: DENY displayName: Prevent roles with "admin" in their names from being revoked
Hanya mengizinkan akun utama tertentu diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT']) ) )" actionType: ALLOW displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT
Mencegah pencabutan peran dari akun utama tertentu.	name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - REMOVE_GRANT condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectMatches(member, ['user:USER_1','user:USER_2']) ) )" actionType: DENY displayName: Do not allow roles to be revoked from USER_1 or USER_2
Mencegah akun utama dengan alamat email yang diakhiri dengan @gmail.com diberi peran.	name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, binding.members.exists(member, MemberSubjectEndsWith(member, ['@gmail.com']) ) )" actionType: DENY displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Hanya mengizinkan peran tertentu untuk diberikan, dan hanya kepada akun utama tertentu.	name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2']) && binding.members.all(member, MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP']) ) )" actionType: ALLOW displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP
Mencegah pemberian peran Cloud Storage kepada allUsers dan allAuthenticatedUsers.	name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.exists( binding, RoleNameStartsWith(binding.role, ['roles/storage.']) && binding.members.exists(member, MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers']) ) )" actionType: DENY displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers
Mencegah identitas di luar organisasi Anda diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID']) ) )" actionType: ALLOW displayName: Only allow organization members to be granted roles
Hanya izinkan akun layanan diberi peran.	name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly resourceTypes: iam.googleapis.com/AllowPolicy methodTypes: - CREATE - UPDATE condition: "resource.bindings.all( binding, binding.members.all(member, MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount']) ) )" actionType: ALLOW displayName: Only allow service accounts to be granted roles
Mencegah penghapusan agen layanan terkelola Google dari binding peran.	name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfGoogleManagedServiceAgents resource_types: iam.googleapis.com/AllowPolicy method_types: - REMOVE_GRANT condition: |- resource.bindings.all( binding, binding.members.all(member, MemberTypeMatches(member, ['iam.googleapis.com/ServiceAgent']) ) ) action_type: DENY display_name: Deny Removal Of Google-Managed Service Agents description: Restricts the removal of Google-managed service agents from role bindings. Please reach out to your organization admins for if you have any questions.

Kebijakan organisasi bersyarat

Anda dapat membuat kebijakan organisasi kustom bersyarat menggunakan tag. Misalnya, Anda menulis batasan kustom berikut untuk mencegah peran yang dimulai dengan roles/storage. diberikan:

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

Untuk menerapkan batasan secara bersyarat, Anda dapat membuat kebijakan organisasi seperti berikut:

name: organizations/ORG_ID/policies/custom.dontgrantStorageRoles
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORG_ID/environment', 'dev')"
    enforce: true
  - enforce: false

Kebijakan organisasi ini mencegah peran yang dimulai dengan roles/storage. diberikan pada resource yang juga memiliki tag environment=dev.

Resource yang didukung Identity and Access Management

IAM mendukung resource AllowPolicy. Resource ini memiliki atribut resources.bindings, yang ditampilkan untuk semua metode yang mengubah kebijakan izinkan resource. Semua metode yang mengubah kebijakan izin resource diakhiri dengan setIamPolicy.

Atribut resource.bindings memiliki struktur berikut, dengan BINDINGS adalah array binding peran yang diubah selama perubahan pada kebijakan izin:

{
  "bindings": {
    BINDINGS
  }
}

Setiap binding di resource.bindings memiliki struktur berikut, dengan ROLE adalah nama peran dalam binding peran dan MEMBERS adalah daftar ID untuk semua akun utama yang ditambahkan ke atau dihapus dari binding peran:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Untuk melihat format yang dapat dimiliki ID utama, lihat ID utama.

Anda hanya dapat mengevaluasi atribut resource.bindings dan kolomnya menggunakan fungsi yang didukung. Operator dan fungsi lainnya—seperti ==, !=, in, contains, startsWith, dan endsWith—tidak didukung.

Fungsi yang didukung

Anda dapat menggunakan fungsi CEL berikut untuk mengevaluasi setiap peran dan anggota dalam binding.

Untuk mengevaluasi semua binding dalam array bindings atau semua anggota dalam array members, gunakan makro all dan exists. Untuk mengetahui informasi selengkapnya, lihat Makro untuk mengevaluasi daftar di halaman ini.

Anda juga dapat menggunakan operator logika && (and) dan || (or) untuk menulis kondisi multipart.

Fungsi	Deskripsi
RoleNameMatches(   role,   roleNames: list )   bool	Menampilkan true jika peran role cocok sepenuhnya dengan setidaknya salah satu peran yang tercantum dalam roleNames. Parameter role: peran yang akan dievaluasi. roleNames: daftar nama peran yang akan dicocokkan. Contoh Menampilkan true jika role dalam binding yang ditentukan adalah roles/storage.admin atau roles/compute.admin: RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
RoleNameStartsWith(   role,   rolePrefixes: list )   bool	Menampilkan true jika peran role dimulai dengan setidaknya salah satu string yang tercantum dalam rolePrefixes. Parameter role: peran yang akan dievaluasi. rolePrefixes: daftar string untuk mencocokkan awal peran. Contoh Menampilkan true jika role di binding yang ditentukan dimulai dengan roles/storage: RoleNameStartsWith(binding.role, ['roles/storage'])
RoleNameEndsWith(   role,   roleSuffixes: list )   bool	Menampilkan true jika peran role diakhiri dengan setidaknya salah satu string yang tercantum dalam roleSuffixes. Parameter role: peran yang akan dievaluasi. roleSuffixes: daftar string untuk mencocokkan akhir peran. Contoh Menampilkan true jika role di binding yang ditentukan diakhiri dengan .admin: RoleNameEndsWith(binding.role, ['.admin'])
RoleNameContains(   role,   roleSubstrings: list )   bool	Menampilkan true jika peran role berisi setidaknya salah satu string yang tercantum dalam roleSubstrings. Parameter role: peran yang akan dievaluasi. roleSubstrings: daftar string untuk mencocokkan bagian mana pun dari peran. Contoh Menampilkan true jika role di binding yang ditentukan berisi string admin: RoleNameContains(binding.role, ['admin'])
MemberSubjectMatches(   member,   memberNames: list )   bool	Menampilkan true jika anggota member cocok sepenuhnya dengan setidaknya salah satu anggota yang tercantum dalam memberNames. Jika ID untuk member adalah alamat email, fungsi ini akan mengevaluasi alamat email serta alias untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberNames: daftar nama anggota yang akan dicocokkan. Contoh Menampilkan true jika anggota member adalah [e-mail]: MemberSubjectMatches(member, ['user:[e-mail]'])
MemberSubjectStartsWith(   member,   memberPrefixes: list )   bool	Menampilkan true jika anggota member dimulai dengan setidaknya salah satu string yang tercantum di memberPrefixes. Jika ID untuk member adalah alamat email, fungsi ini akan mengevaluasi alamat email serta alias untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberPrefixes: daftar string untuk mencocokkan awal nama anggota. Contoh Menampilkan true jika anggota member diawali dengan user:prod-: MemberSubjectStartsWith(member, ['user:prod-'])
MemberSubjectEndsWith(   member,   memberSuffixes: list )   bool	Menampilkan true jika anggota member diakhiri dengan setidaknya salah satu string yang tercantum dalam memberSuffixes. Jika ID untuk member adalah alamat email, fungsi ini akan mengevaluasi alamat email serta alias untuk alamat email tersebut. Parameter member: anggota yang akan dievaluasi. memberSuffixes: daftar string untuk mencocokkan akhir nama anggota. Contoh Menampilkan true jika anggota member diakhiri dengan @example.com: MemberSubjectEndsWith(member, ['@example.com'])
MemberInPrincipalSet(   member,   principalSets: list )   bool	Menampilkan true jika anggota termasuk dalam setidaknya salah satu set utama yang tercantum. Parameter member: anggota yang akan dievaluasi. principalSets: daftar set akun utama. Agar fungsi dievaluasi menjadi true, anggota harus berada di setidaknya salah satu set pokok ini. Satu-satunya set utama yang didukung adalah set utama organisasi, yang memiliki format //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID. Jika digunakan dalam fungsi MemberInPrincipalSet, set entitas utama ini mencakup entitas utama berikut: Semua identitas di semua domain yang terkait dengan ID pelanggan Google Workspace Anda Semua workforce identity pool di organisasi Anda Semua akun layanan dan workload identity pool dalam project apa pun di organisasi Semua agen layanan yang terkait dengan resource di organisasi Anda. Contoh Menampilkan true jika anggota member termasuk dalam organisasi @example.com, yang memiliki ID 123456789012: MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
MemberTypeMatches(   member,   principalType: list )   bool	Menampilkan true jika anggota adalah salah satu jenis pokok yang tercantum. Parameter member: anggota yang akan dievaluasi. principalType: daftar jenis akun utama. Agar fungsi dievaluasi menjadi true, anggota harus berupa salah satu jenis pokok yang tercantum. Untuk mempelajari jenis akun utama yang didukung, lihat Jenis akun utama yang didukung untuk MemberTypeMatches. Contoh Menampilkan true jika anggota member memiliki jenis prinsipal iam.googleapis.com/WorkspacePrincipal atau iam.googleapis.com/WorkspaceGroup: MemberTypeMatches(member, ['iam.googleapis.com/WorkspacePrincipal', 'iam.googleapis.com/WorkspaceGroup'])

Makro untuk mengevaluasi daftar

Gunakan makro all dan exists untuk mengevaluasi ekspresi kondisi untuk daftar item.

Makro	Deskripsi
list.all(   item,   conditionExpression )   bool	Menampilkan true jika conditionExpression menghasilkan true untuk setiap item dalam list. Makro ini biasanya digunakan untuk kebijakan organisasi kustom dengan actionType ALLOW. Misalnya, Anda dapat menggunakan makro ini untuk memastikan bahwa tindakan hanya diizinkan jika semua prinsipal yang diubah memenuhi kondisi. Parameter list: daftar item yang akan dievaluasi. item: item daftar yang akan dievaluasi. Misalnya, jika Anda memanggil metode ini pada daftar resource.bindings, maka gunakan nilai binding. conditionExpression: ekspresi kondisi untuk mengevaluasi setiap item. Contoh Menampilkan true jika semua binding di resource.bindings memiliki peran yang diawali dengan roles/storage.. Menampilkan false jika salah satu binding memiliki peran yang tidak diawali dengan roles/storage.: resource.bindings.all(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))
list.exists(   item,   conditionExpression )   bool	Menampilkan true jika conditionExpression menghasilkan true untuk item apa pun dalam list. Makro ini biasanya digunakan untuk kebijakan organisasi kustom dengan actionType DENY. Misalnya, Anda dapat menggunakan makro ini untuk memastikan bahwa tindakan ditolak jika salah satu principal yang diubah memenuhi kondisi. Parameter list: daftar item yang akan dievaluasi. item: item daftar yang akan dievaluasi. Misalnya, jika Anda memanggil metode ini pada daftar resource.bindings, maka gunakan nilai binding. conditionExpression: ekspresi kondisi untuk mengevaluasi setiap item. Contoh Menampilkan true jika salah satu binding di resource.bindings memiliki peran yang diawali dengan roles/storage.. Menampilkan false jika tidak ada binding yang memiliki peran yang dimulai dengan roles/storage.: resource.bindings.exists(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))

Kondisi dengan daftar bertingkat

Secara umum, jika kondisi Anda menyertakan daftar bertingkat, Anda harus menggunakan makro yang sama untuk semua daftar dalam kondisi tersebut.

Perhatikan contoh berikut:

• Jika kebijakan Anda memiliki actionType ALLOW, gunakan makro all untuk daftar members dan daftar bindings guna memastikan bahwa modifikasi kebijakan hanya diizinkan jika semua anggota dalam semua binding yang dimodifikasi memenuhi kondisi.
• Jika kebijakan Anda memiliki actionType DENY, gunakan makro exists untuk daftar members dan daftar bindings guna memastikan bahwa modifikasi kebijakan tidak diizinkan jika anggota dalam pengikatan yang dimodifikasi memenuhi kondisi.

Mencampur makro dalam satu kondisi dapat menghasilkan kondisi yang tidak berperilaku seperti yang Anda inginkan.

Misalnya, bayangkan Anda ingin mencegah peran diberikan kepada anggota di luar organisasi example.com. Organisasi example.com memiliki ID 123456789012.

Untuk mencapai tujuan ini, Anda menulis kondisi berikut:

Tidak direkomendasikan — kondisi salah dikonfigurasi

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Kondisi ini tampaknya mencegah pemberian peran kepada anggota di luar organisasi example.com. Namun, kondisi akan dievaluasi menjadi true jika ada anggota dalam setiap binding peran yang diubah berada di organisasi example.com. Akibatnya, Anda tetap dapat memberikan peran kepada anggota di luar organisasi example.com jika Anda juga memberikan peran yang sama kepada anggota di organisasi example.com.

Misalnya, kondisi dievaluasi menjadi true untuk kumpulan binding berikut, meskipun salah satu anggotanya tidak berada di organisasi example.com:

 "bindings": [
    {
      "members": [
        "user:[e-mail]",
        "user:[e-mail]"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Sebagai gantinya, Anda harus menulis kondisi seperti berikut:

Direkomendasikan — kondisi yang dikonfigurasi dengan benar

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Penggunaan makro all untuk array members.bindings dan array resource.bindings memastikan bahwa kondisi dievaluasi menjadi true hanya jika semua anggota dalam semua binding berada dalam set pokok example.com.

Jenis prinsipal yang didukung untuk MemberTypeMatches

Fungsi MemberTypeMatches mengharuskan Anda menentukan jenis prinsipal yang harus cocok dengan anggota yang ditentukan.

Tabel berikut mencantumkan jenis akun utama yang dapat Anda masukkan dan deskripsi tentang jenis akun utama tersebut. Tabel ini juga mencantumkan ID utama yang sesuai dengan setiap jenis utama. ID ini adalah nilai yang digunakan dalam kebijakan IAM.

Jenis Utama:	Deskripsi	ID utama
iam.googleapis.com/ConsumerPrincipal	Akun Google konsumen. Alamat email untuk akun ini biasanya diakhiri dengan gmail.com.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/WorkspacePrincipal	Akun Google yang merupakan bagian dari akun Cloud Identity atau Google Workspace. Akun ini juga disebut akun pengguna terkelola.	user:USER_EMAIL_ADDRESS
iam.googleapis.com/ConsumerGroup	Grup Google yang dibuat oleh Akun Google konsumen. Grup ini tidak dimiliki oleh akun Cloud Identity atau Google Workspace. Alamat email untuk grup ini biasanya berakhiran googlegroups.com.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/WorkspaceGroup	Grup Google yang dimiliki oleh akun Cloud Identity atau Google Workspace.	group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/Domain	Akun Cloud Identity atau Google Workspace.	domain:DOMAIN
iam.googleapis.com/WorkforcePoolPrincipal	Satu akun utama dalam workforce identity pool.	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkforcePoolPrincipalSet	Kumpulan prinsipal yang berisi kumpulan identitas dalam workforce identity pool. Misalnya, set prinsipal yang berisi semua prinsipal dalam workforce identity pool.	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
iam.googleapis.com/WorkloadPoolPrincipal	Satu identitas dalam workload identity pool	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkloadPoolPrincipalSet	Kumpulan prinsipal yang berisi sekumpulan identitas dalam workload identity pool. Misalnya, set principal yang berisi semua principal dalam workload identity pool.	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
iam.googleapis.com/ServiceAccount	Akun layanan apa pun. Akun layanan adalah jenis akun khusus yang mewakili workload, bukan pengguna manusia. Dalam konteks fungsi MemberTypeMatches, jenis akun utama ini tidak menyertakan agen layanan.	serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS
iam.googleapis.com/ServiceAgent	Agen layanan. Agen layanan adalah jenis akun layanan khusus yang Google Cloud membuat dan mengelola. Jika diberi peran di project Anda, agen layanan memungkinkan layanan Google Cloud melakukan tindakan atas nama Anda.	serviceAccount:SERVICE_AGENT_EMAIL_ADDRESS
iam.googleapis.com/PublicPrincipals	Akun utama allUsers dan allAuthenticatedUsers.	allUsers allAuthenticatedUsers
iam.googleapis.com/ProjectRoleReference	Akun utama yang ditentukan berdasarkan peran yang diberikan kepadanya. Principal ini juga disebut nilai praktis.	projectOwner:PROJECT_ID projectEditor:PROJECT_ID projectViewer:PROJECT_ID
iam.googleapis.com/ResourcePrincipal	Resource dengan identitas bawaan.	Salah satu ID utama yang tercantum dalam ID utama untuk resource tunggal.
iam.googleapis.com/ResourcePrincipalSet	Resource dengan identitas bawaan yang memiliki karakteristik tertentu, seperti jenis atau ancestor.	Salah satu ID yang tercantum dalam ID utama untuk kumpulan resource.

Langkah berikutnya

• Pelajari lebih lanjut Layanan Kebijakan Organisasi.
• Pelajari lebih lanjut cara membuat dan mengelola kebijakan organisasi.
• Lihat daftar lengkap batasan kebijakan organisasi terkelola.