Batasan kebijakan organisasi

Halaman ini memberikan informasi tentang batasan kebijakan organisasi yang dapat Anda konfigurasikan untuk Cloud NAT.

Administrator jaringan dapat membuat konfigurasi Cloud NAT dan menentukan subnetwork (subnet) yang dapat menggunakan gateway. Secara default, tidak ada batasan pada subnet yang dibuat administrator atau subnet yang dapat menggunakan konfigurasi Cloud NAT.

Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) dapat menggunakan batasan constraints/compute.restrictCloudNATUsage untuk membatasi subnet yang dapat menggunakan Cloud NAT.

Anda membuat dan menerapkan batasan organisasi dalam kebijakan organisasi.

Prasyarat

Izin IAM

  • Orang yang membuat batasan harus memiliki peran roles/orgpolicy.policyAdmin.
  • Jika menggunakan VPC Bersama, peran pengguna harus berada di project host.

Latar belakang kebijakan organisasi

Jika Anda belum pernah menangani batasan kebijakan organisasi, tinjau terlebih dahulu dokumentasi berikut:

Merencanakan batasan Anda

Untuk menentukan subnetwork yang dapat menggunakan Cloud NAT, Anda menentukan allowedValues atau deniedValues dalam kebijakan organisasi Anda. Nilai ini dapat ditetapkan ke tingkat hierarki resource berikut, dengan placeholder mewakili ID dan nama resource target Anda:

  • Organisasi: under:organizations/ORGANIZATION_ID
  • Folder: under:folders/FOLDER_ID
  • Project: under:projects/PROJECT_ID
  • Subnetwork: projects/PROJECT_ID/regions/REGION_NAME/subnetworks/SUBNETWORK_NAME

Secara default, batasan yang dibuat pada node diwarisi oleh semua node turunan. Namun, Administrator Kebijakan Organisasi untuk folder tertentu dapat memutuskan bahwa folder tertentu diwarisi dari induknya, sehingga pewarisan tidak bersifat otomatis. Untuk informasi selengkapnya, lihat Pewarisan di Memahami evaluasi hierarki.

Batasan tidak diterapkan secara surut. Konfigurasi yang ada akan terus berfungsi meskipun melanggar batasan.

Batasan terdiri dari setelan allow dan deny.

Interaksi antara nilai yang diizinkan dan ditolak

  • Jika batasan restrictCloudNatUsage dikonfigurasi, tetapi allowedValues maupun deniedValues tidak ditentukan, semuanya diizinkan.
  • Jika allowedValues dikonfigurasi dan deniedValues tidak dikonfigurasi, semua yang tidak ditentukan dalam allowedValues akan ditolak.
  • Jika deniedValues dikonfigurasi dan allowedValues tidak dikonfigurasi, semua yang tidak ditentukan di deniedValues diizinkan.
  • Jika allowedValues dan deniedValues dikonfigurasi, semua yang tidak ditentukan dalam allowedValues akan ditolak.
  • Jika dua nilai bertentangan, deniedValues akan diprioritaskan.

Interaksi antara subnet dan gateway

Batasan tidak mencegah subnet menggunakan gateway NAT. Sebagai gantinya, batasan mencegah konfigurasi yang akan melanggar batasan dengan mencegah pembuatan gateway atau subnet.

Contoh 1: Mencoba membuat subnet yang melanggar aturan deny

  1. Gateway ada di suatu region.
  2. Gateway dikonfigurasi untuk mengizinkan semua subnet di region menggunakannya.
  3. Satu subnet (subnet-1) ada di region.
  4. Batasan dibuat sehingga hanya subnet-1 yang dapat menggunakan gateway.
  5. Administrator tidak dapat membuat lebih banyak subnet di jaringan tersebut di region tersebut. Batasan ini mencegah pembuatan subnet yang dapat menggunakan gateway. Jika subnet baru harus ada, maka Administrator Kebijakan Organisasi dapat menambahkan subnet ini ke daftar subnet yang diizinkan.

Contoh 2: Mencoba membuat gateway yang melanggar aturan deny

  1. Dua subnet (subnet-1 dan subnet-2) ada di suatu region.
  2. Ada batasan yang hanya mengizinkan subnet-1 menggunakan gateway.
  3. Administrator tidak dapat membuat gateway yang terbuka untuk semua subnet di region. Sebagai gantinya, mereka harus membuat gateway yang hanya melayani subnet-1, atau Administrator Kebijakan Organisasi harus menambahkan subnet-2 ke daftar subnet yang diizinkan.

Membuat batasan

Untuk membuat kebijakan organisasi dengan batasan tertentu, lihat Menggunakan batasan.

Langkah berikutnya