組織政策限制

本頁說明可為 Cloud NAT 設定的機構政策限制。

網路管理員可以建立 Cloud NAT 設定，並指定哪些子網路可以使用閘道。根據預設，管理員建立的子網路或可使用 Cloud NAT 設定的子網路，都沒有任何限制。

機構政策管理員 (roles/orgpolicy.policyAdmin) 可以使用 constraints/compute.restrictCloudNATUsage 限制，指定哪些子網路可使用 Cloud NAT。

您可以在機構政策中建立及強制執行機構限制。

必要條件

IAM 權限

  • 建立限制的人員必須具備 roles/orgpolicy.policyAdmin 角色。
  • 如果使用 Shared VPC，使用者角色必須位於主專案中。

機構政策背景

如果您不曾使用機構政策限制，請先參閱下列說明文件：

規劃限制

如要定義哪些子網路可以使用 Cloud NAT，請在機構政策中指定 allowedValues 或 deniedValues。這些值可限定在資源階層的下列層級，其中預留位置代表目標資源 ID 和名稱：

  • 機構：under:organizations/ORGANIZATION_ID
  • 資料夾：under:folders/FOLDER_ID
  • 專案：under:projects/PROJECT_ID
  • Subnetwork： projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME

根據預設，在節點建立的限制會由所有子節點沿用。 不過，特定資料夾的機構政策管理員可以決定該資料夾是否要沿用父項政策，因此不會自動沿用。詳情請參閱「瞭解階層評估」中的「繼承」。

限制不會溯及既往。即使現有設定違反限制，仍會繼續運作。

限制由 allow 和 deny 設定組成。

允許和拒絕的值之間的互動

  • 如果已設定 restrictCloudNatUsage 限制條件，但未指定 allowedValues 或 deniedValues，則系統會允許所有項目。
  • 如果已設定 allowedValues 但未設定 deniedValues，系統會拒絕 allowedValues 中未指定的所有項目。
  • 如果已設定 deniedValues 但未設定 allowedValues，系統會允許 deniedValues 中未指定的所有項目。
  • 如果同時設定 allowedValues 和 deniedValues，系統會拒絕 allowedValues 中未指定的所有項目。
  • 如果兩個值相互衝突，系統會優先採用 deniedValues。

子網路和閘道之間的互動

限制不會阻止子網路使用 NAT 閘道。而是限制條件會防止違反限制條件的設定，藉此避免建立閘道或子網路。

範例 1：嘗試建立違反 deny 規則的子網路

  1. 閘道位於某個區域。
  2. 閘道已設定為允許區域中的所有子網路使用。
  3. 該區域中存在單一子網路 (subnet-1)。
  4. 系統會建立限制，確保只有 subnet-1 可以使用閘道。
  5. 管理員無法在該區域的網路中建立更多子網路。這項限制會禁止建立可使用閘道的子網路。如果應該存在新的子網路，則組織策略管理員可以將這些子網路新增至允許的子網路清單。

範例 2：嘗試建立違反 deny 規則的閘道

  1. 一個區域中有兩個子網路 (subnet-1 和 subnet-2)。
  2. 存在限制，只允許 subnet-1 使用閘道。
  3. 管理員無法建立開放區域內所有子網路的閘道。因此，使用者必須建立只提供 subnet-1 服務的閘道，或是由機構政策管理員將 subnet-2 新增至允許的子網路清單。

建立限制

如要建立具有特定限制的機構政策，請參閱使用限制。

後續步驟