使用组织政策控制 IAP 启用

本页面介绍了您可以设置的组织政策，以控制为全球和区域应用启用 IAP 保护。

概览

IAP 是一项全球性服务，任何 IAP 配置都会在全球范围内复制。因此，如果您有必须遵守的严格区域数据驻留合规性要求，则可能需要确保无法为组织中的应用、特定项目或特定文件夹启用 IAP。您可以通过设置 组织政策限制条件来控制 IAP 启用。

IAP 组织政策

以下组织政策会限制为全球和区域应用启用 IAP：

  • 全球：iap.requireGlobalIapWebDisabled
  • 区域：iap.requireRegionalIapWebDisabled

您可以使用组织政策来阻止管理员在以下服务中启用 IAP：

  • Compute Engine 后端服务，API 参考文档：backendServices/regionBackendServices 插入、更新和补丁操作
  • App Engine 应用，API 参考文档：Applications.updateApplication

当您启用一项或两项政策限制条件时，系统会阻止日后分别为全球或区域应用启用 IAP。设置政策限制条件不会自动停用为现有 Compute Engine 或 App Engine 应用启用的 IAP 保护。对于已启用 IAP 的现有应用，请确保在不影响安全态势的情况下，使其符合新设置的政策。

组织政策专门且严格地仅控制 IAP 启用，而不控制 IAP 配置的其他方面。 当组织政策生效后，管理员可以为政策强制执行时任何不合规的应用更新任何 IAP 设置，包括 OAuth 客户端信息。这样，您就可以在努力使所有服务都符合数据驻留要求的同时，保持强大的安全态势。