Visão geral
O IAP é um serviço global, e qualquer configuração dele é replicada globalmente. Portanto, se você tiver requisitos rígidos de conformidade com a residência de dados regional que precisa seguir, talvez seja necessário garantir que o IAP não possa ser ativado para aplicativos em toda a organização, em projetos específicos ou em pastas específicas. É possível controlar a ativação do IAP definindo restrições da política da organização.Políticas da organização do IAP
As seguintes políticas da organização restringem a ativação do IAP para aplicativos globais e regionais:- Global:
iap.requireGlobalIapWebDisabled Regional:
iap.requireRegionalIapWebDisabled
É possível usar as políticas da organização para impedir que os administradores ativem o IAP nos seguintes serviços:
* Serviços de back-end do Compute Engine, referência da API: operações de inserção, atualização e patch debackendServices/regionBackendServices
* Aplicativos do App Engine, referência da API: Applications.updateApplication
Quando você ativa uma ou ambas as restrições de política, isso impede a ativação futura do IAP em aplicativos globais ou regionais, respectivamente. A definição das restrições da política não desativa automaticamente as proteções do IAP em vigor para aplicativos atuais do Compute Engine ou do App Engine. Para aplicativos em que o IAP está ativado, verifique se eles estão em conformidade com as políticas recém-definidas sem sacrificar sua postura de segurança.
As políticas da organização controlam especificamente e estritamente apenas a ativação do IAP, e não outros aspectos da configuração do IAP. Quando uma política da organização está em vigor, um administrador pode atualizar as configurações do IAP, incluindo as informações do cliente OAuth, para qualquer aplicativo que não esteja em conformidade no momento da aplicação da política. Essa flexibilidade permite manter uma postura de segurança forte enquanto você trabalha para colocar todos os seus serviços em conformidade com os requisitos de residência de dados.