組織政策服務可讓客戶透過程式輔助集中控管機構資源的限制。每種限制都定義為限制條件，概念上類似於藍圖，定義要控管的行為。建立及維護機構政策可能很複雜，因為安全性和法規遵循要求會隨時間變更。
組織政策建議工具可協助您保護 Google Cloud 資源 ，同時不中斷客戶系統。這項功能會分析現有的機構政策設定，並建議要強制執行的機構政策。
機構政策建議總覽
機構政策建議是由機構政策建議工具產生。機構政策建議工具是 建議工具提供的建議工具之一。
每項機構政策建議都會建議您設定特定機構政策，以提升 Google Cloud 資源的安全性。組織政策是由限制所建構，也就是對 Google Cloud 服務設定的限制。
機構政策建議工具會使用機構政策深入分析，找出未設定的機構政策。機構政策洞察是關於資源機構政策限制強制執行狀態的發現，以及資源是否違反該機構政策。
如果資源處於組織政策限制的狀態，即視為違反該政策。舉例來說，您可以透過 iam.managed.disableServiceAccountKeyCreation 限制條件限制服務帳戶金鑰的建立作業。如果專案中已建立服務帳戶金鑰，組織政策服務會將該專案視為違反組織政策。
洞察資料和最佳化建議的產生方式
建議是協助您充分運用Google Cloud 資源的提示。這項建議包含採取行動的必要步驟，並根據資源設定的記錄和分析結果建立，以解決深入分析功能偵測到的安全漏洞。
洞察是指您可主動使用的發現，有助於專注於資源用量的重大模式，並包含建立建議所需的背景資訊。
機構政策建議工具會在資源階層中，盡可能產生最高層級的建議。舉例來說，如果資料夾下的任何專案都沒有違反支援的限制，機構政策建議工具就會為該資料夾產生建議，而不是為專案提供建議。
支援的限制
每項建議都適用於特定機構政策限制。
建立服務帳戶金鑰
根據預設，具備適當權限的使用者可以建立服務帳戶金鑰。不過，如果管理不當，服務帳戶金鑰就會帶來安全風險。使用 iam.managed.disableServiceAccountKeyCreation 機構政策限制，您可以為專案、資料夾或機構中的所有服務帳戶，停用建立新外部服務帳戶金鑰的功能。
組織政策建議工具會檢查身分與存取權管理 (IAM) 使用者管理的服務帳戶，以及這些服務帳戶的外部金鑰是否存在，藉此評估這些帳戶是否違反服務帳戶金鑰建立限制。
如果沒有已建立的服務帳戶金鑰，組織政策建議工具會產生建議，強制執行 iam.managed.disableServiceAccountKeyCreation 限制，並在對應的深入分析中提供建議的支援詳細資料。
與 iam.managed.disableServiceAccountKeyCreation 限制相關的洞察資訊具有 ADD_POLICY_DISABLE_SERVICE_ACCOUNT_KEY_CREATION 子類型。
上傳服務帳戶金鑰
使用者可以上傳公開金鑰部分的使用者管理金鑰組，將其與服務帳戶建立關聯。上傳公開金鑰後，即可使用金鑰組的私密金鑰做為服務帳戶金鑰。使用 iam.managed.disableServiceAccountKeyUpload 組織政策限制，禁止將外部公開金鑰上傳至專案、資料夾或組織下的服務帳戶。
如果沒有上傳服務帳戶金鑰，組織政策建議工具會產生建議，強制執行 iam.managed.disableServiceAccountKeyUpload 限制，並在對應的洞察資料中提供建議的支援詳細資料。
iam.managed.disableServiceAccountKeyUpload 的洞察資料具有 ADD_POLICY_DISABLE_SERVICE_ACCOUNT_KEY_UPLOAD 子類型。
通訊協定轉送規則
通訊協定轉送會使用區域轉送規則，將特定通訊協定的封包傳送至單一虛擬機器 (VM) 執行個體。轉送規則可以有內部或外部 IP 位址。
您可以透過compute.managed.restrictProtocolForwardingCreationForTypes組織政策限制，限制使用者可建立的通訊協定轉送規則物件類型。
如果沒有定義外部通訊協定轉送規則，組織政策建議工具會產生建議，強制執行 compute.managed.restrictProtocolForwardingCreationForTypes 限制，並在對應的洞察資料中提供建議的支援詳細資料。
「compute.managed.restrictProtocolForwardingCreationForTypes」的洞察資料子類型為「ADD_POLICY_RESTRICT_PROTOCOL_FORWARDING_CREATION_FOR_TYPES」。
優先順序和嚴重程度
建議優先順序和洞察嚴重程度可協助您瞭解建議或洞察的緊急程度，並據此排定優先順序。
機構政策建議優先順序
系統會根據建議的緊急程度，指派優先層級。
優先等級範圍從 P1 (最高優先順序) 到 P4 (最低優先順序)。
所有機構政策建議的優先順序都是 P1。
組織政策建議嚴重程度
系統會根據洞察資料的緊急程度，指派嚴重程度。嚴重程度可以是 LOW、MEDIUM、HIGH 或 CRITICAL。
所有機構政策洞察資訊的嚴重程度都是 HIGH。
如何套用最佳化建議
機構政策建議工具不會自動套用建議。 您必須查看建議，並決定是否套用或捨棄。如要瞭解如何查看、套用及略過角色建議，請參閱「查看及套用機構政策最佳化建議」。
稽核記錄
套用或關閉最佳化建議時，機構政策建議工具會建立記錄項目。您可以在稽核記錄 Google Cloud 中查看這些變更。
定價
代管限制的組織政策建議可免付費使用。
詳情請參閱「帳單問題」。
後續步驟
進一步瞭解 Recommender。
進一步瞭解機構政策中的代管限制。