Esta página oferece uma lista de todas as restrições de políticas da organização gerenciadas pelo Google disponíveis.
Restrições aplicadas automaticamente
Se uma política da organização não for aplicada, ela será herdada do ancestral mais baixo em que uma política da organização é aplicada. Se nenhuma política da organização for aplicada em qualquer lugar na hierarquia de ancestrais, o comportamento padrão gerenciado pelo Google da restrição será aplicado.
Se o comportamento padrão gerenciado pelo Google de uma restrição de política da organização restringir uma operação, essa operação será restrita mesmo que você nunca tenha definido explicitamente uma política da organização. Para permitir essas operações, crie políticas da organização que substituam a política principal.
As seguintes restrições de política da organização têm um comportamento padrão gerenciado pelo Google que restringe operações:
Restrições disponíveis
É possível criar políticas da organização usando as seguintes restrições.
Restrições gerenciadas
| Serviço | Restrição | Descrição |
|---|---|---|
| Compute Engine | Configurações de criptografia de anexo da VLAN permitidas |
Essa restrição de lista define as configurações de criptografia permitidas para novos anexos da VLAN. constraints/compute.managed.allowedVlanAttachmentEncryption
|
| Compute Engine | Bloquear recursos de prévia do Compute Engine |
Essa restrição garante que os recursos de prévia sejam bloqueados, a menos que ela seja explicitamente permitida. Depois de definir como "Permitir", você pode controlar quais recursos de prévia podem ser ativados ou desativados individualmente para seu projeto. Somente os recursos de prévia ativados podem ser acessados no projeto. Desativar a política depois não muda o status dos recursos de prévia individual já definidos, e eles podem ser desativados individualmente. Essa restrição se aplica apenas aos recursos da API Alpha do Compute. constraints/compute.managed.blockPreviewFeatures
|
| Compute Engine | Desativar virtualização aninhada da VM |
[Prévia pública] Essa restrição booleana desativa a virtualização aninhada acelerada por hardware de todas as VMs do Compute Engine pertencentes à organização, ao projeto ou à pasta em que essa restrição está definida como constraints/compute.managed.disableNestedVirtualization
|
| Compute Engine | Restringir a ativação de metadados de acesso à porta serial da VM |
Prévia: essa restrição impede que a chave de metadados "serial-port-enable" seja definida como "true" para VMs do Compute Engine na organização, no projeto ou na pasta em que a restrição é aplicada. Por padrão, o acesso à porta serial pode ser ativado por VM, por zona ou por projeto usando essa chave de metadados. Para permitir o acesso à porta serial para VMs específicas, é possível isentar essas VMs da política usando tags e regras condicionais. constraints/compute.managed.disableSerialPortAccess
|
| Compute Engine | Desativar o registro da porta serial da VM para o Stackdriver |
[Prévia pública] Quando aplicada, essa restrição desativa a geração de registros de porta serial no Stackdriver das VMs do Compute Engine. constraints/compute.managed.disableSerialPortLogging
|
| Compute Engine | Restringe o uso do DNS interno global (gDNS) para projetos que têm uma configuração de DNS ZonalOnly. |
[Prévia pública] Quando aplicada, essa restrição limita o uso do gDNS. Essa restrição desativa a criação de VMs do gDNS e a atualização de VMs para usar o gDNS. A reversão de um projeto zDNS para gDNS não será bloqueada, mas vai resultar na aplicação de violações da política durante as invocações subsequentes da API Instance. constraints/compute.managed.disallowGlobalDns
|
| Compute Engine | Exigir configuração do SO |
[Prévia pública] Quando aplicada, essa restrição exige a ativação do VM Manager (configuração do SO) em todos os novos projetos. Nos projetos novos e atuais, essa restrição impede atualizações de metadados que desativem o VM Manager no nível do projeto, da zona do projeto ou da instância. É possível permitir que instâncias de VM específicas desativem o VM Manager. Primeiro, aplique tags para marcar as instâncias e, em seguida, use regras condicionais com base nos valores de tag para definir corretamente o escopo dessas instâncias fora da aplicação. constraints/compute.managed.requireOsConfig
|
| Compute Engine | Requer login do SO |
[Prévia pública] Quando aplicada, essa restrição exige a ativação do Login do SO em todos os projetos recém-criados. Nos projetos novos e atuais, essa restrição impede atualizações de metadados que desativem o login do SO no nível do projeto, da zona do projeto ou da instância. É possível permitir que instâncias de VM específicas desativem o login do SO. Primeiro, aplique tags para marcar as instâncias e, em seguida, use regras condicionais com base nos valores de tag para definir corretamente o escopo dessas instâncias fora da aplicação. constraints/compute.managed.requireOsLogin
|
| Compute Engine | Restringe o uso do encaminhamento de protocolo |
Com essa restrição, é possível restringir os tipos de implantações de encaminhamento de protocolo (internas ou externas) que podem ser criadas na sua organização. Para configurar a restrição, especifique uma lista de permissões do tipo de implantação de encaminhamento de protocolo que será permitida. A lista de permissões só pode incluir os seguintes valores:
constraints/compute.managed.restrictProtocolForwardingCreationForTypes
|
| Compute Engine | Restringir o encaminhamento IP da VM |
[Prévia pública] Essa restrição define se as instâncias de VM do Compute Engine podem ativar o encaminhamento de IP. Por padrão, se nenhuma política for especificada, qualquer VM poderá ativar o encaminhamento de IP em qualquer rede virtual. Se aplicada, essa restrição vai negar a criação ou atualização de instâncias de VM com o encaminhamento de IP ativado. É possível permitir que instâncias de VM específicas ativem o encaminhamento de IP. Primeiro, aplique tags para marcar as instâncias e, em seguida, use regras condicionais com base nos valores de tag para definir corretamente o escopo dessas instâncias fora da aplicação. constraints/compute.managed.vmCanIpForward
|
| Compute Engine | Restringir IPs externos para instâncias de VM |
[Prévia pública] Essa restrição define se as instâncias de VM do Compute Engine podem usar endereços IP externo IPv4. Por padrão, todas as instâncias de VM podem usar endereços IP externos. Se aplicada, essa restrição vai negar a criação ou atualização de instâncias de VM com endereços IP externo IPv4. Essa restrição não limita o uso de endereços IP externo IPv6. É possível permitir que instâncias de VM específicas usem endereços IP IPv4 externos. Primeiro, aplique tags para marcar as instâncias e, em seguida, use regras condicionais com base nos valores de tag para definir corretamente o escopo dessas instâncias fora da aplicação. constraints/compute.managed.vmExternalIpAccess
|
| Google Kubernetes Engine | Exigir que o controlador de admissão DenyServiceExternalIPs esteja ativado |
Exigir que o controlador de admissão DenyServiceExternalIPs permaneça ativado nos clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/hardening-your-cluster#deny_external_IPs constraints/container.managed.denyServiceExternalIPs
|
| Google Kubernetes Engine | Exigir que o controle de acesso baseado em atributos esteja desativado |
Rejeitar solicitações para ativar o controle de acesso baseado em atributos (ABAC) em clusters do GKE. A ABAC é um método de autenticação legada que é desativado por padrão em todos os novos clusters. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/hardening-your-cluster#leave_abac_disabled constraints/container.managed.disableABAC
|
| Google Kubernetes Engine | Exigir a desativação da porta somente leitura do kubelet não segura em clusters do GKE |
Exija que a porta somente leitura do kubelet não segura (10255) permaneça desativada. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/disable-kubelet-readonly-port constraints/container.managed.disableInsecureKubeletReadOnlyPort
|
| Google Kubernetes Engine | Exigir que a autenticação com certificado do cliente esteja desativada |
Não ative manualmente o método legado de autenticação de certificado do cliente. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/api-server-authentication#disabling_authentication_with_a_client_certificate constraints/container.managed.disableLegacyClientCertificateIssuance
|
| Google Kubernetes Engine | Exige a desativação das vinculações de RBAC para identidades do sistema em clusters do GKE. |
Desative ClusterRoleBindings e RoleBindings não padrão que referenciam as identidades do sistema system:anonymous, system:authenticated ou system:unauthenticated ao criar ou atualizar clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/best-practices/rbac#prevent-default-group-usage constraints/container.managed.disableRBACSystemBindings
|
| Google Kubernetes Engine | Não permitir o uso da conta de serviço padrão do Compute Engine como a conta de serviço do pool de nós. |
Não use a conta de serviço padrão do Compute Engine como a conta de serviço do cluster ou do pool de nós. Use uma conta de serviço do IAM com privilégios mínimos. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/hardening-your-cluster#use_least_privilege_sa constraints/container.managed.disallowDefaultComputeServiceAccount
|
| Google Kubernetes Engine | É necessário ativar a autorização binária para clusters do GKE. |
Ative a autorização binária ao criar ou atualizar clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/binary-authorization/docs/setting-up. constraints/container.managed.enableBinaryAuthorization
|
| Google Kubernetes Engine | Exigir que o Cloud Logging esteja ativado em clusters do GKE |
Exigir que todos os clusters do GKE usem pelo menos a configuração padrão do Cloud Logging. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/hardening-your-cluster#stackdriver_logging constraints/container.managed.enableCloudLogging
|
| Google Kubernetes Engine | Exigir o uso apenas do endpoint baseado em DNS para acessar clusters do GKE. |
Ative o endpoint baseado em DNS para acesso ao plano de controle do GKE e desative os endpoints baseados em IP ao criar ou atualizar clusters. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/latest/network-isolation#dns-based-endpoint. constraints/container.managed.enableControlPlaneDNSOnlyAccess
|
| Google Kubernetes Engine | Exigir a ativação dos Grupos do Google para RBAC em clusters do GKE. |
Ative os Grupos do Google para RBAC ao criar ou atualizar clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/google-groups-rbac. constraints/container.managed.enableGoogleGroupsRBAC
|
| Google Kubernetes Engine | Exigir a ativação da aplicação da política de rede em clusters do GKE. |
Ative o uso de NetworkPolicies do Kubernetes ativando a aplicação de políticas de rede ou o GKE Dataplane V2. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/network-policy ou https://cloud.google.com/kubernetes-engine/docs/how-to/dataplane-v2. constraints/container.managed.enableNetworkPolicy
|
| Google Kubernetes Engine | Exige a ativação de nós particulares em clusters do GKE. |
Ative nós particulares ao criar ou atualizar clusters do GKE e pools de nós. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/latest/network-isolation#configure-cluster-networking. constraints/container.managed.enablePrivateNodes
|
| Google Kubernetes Engine | Exigir a ativação da criptografia de secrets autogerenciados em clusters do GKE. |
Ative a criptografia de secrets com chaves autogerenciadas ao criar ou atualizar clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/encrypting-secrets. constraints/container.managed.enableSecretsEncryption
|
| Google Kubernetes Engine | Exija a ativação das notificações de boletins de segurança em clusters do GKE. |
Ative as notificações de boletins de segurança ao criar ou atualizar clusters do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/concepts/cluster-notifications#securitybulletin constraints/container.managed.enableSecurityBulletinNotifications
|
| Google Kubernetes Engine | Exigir a ativação de nós protegidos em clusters do GKE |
Exigir que os nós protegidos permaneçam ativados. Os nós protegidos do GKE fornecem integridade e identidade forte e verificável de nós para aumentar a segurança dos nós do GKE. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/shielded-gke-nodes. constraints/container.managed.enableShieldedNodes
|
| Google Kubernetes Engine | É necessário ativar a Federação de Identidade da Carga de Trabalho para GKE. |
Ative a federação de identidade da carga de trabalho do GKE ao criar ou atualizar clusters. Para mais detalhes, consulte https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity. constraints/container.managed.enableWorkloadIdentityFederation
|
| Dataflow | Bloquear chaves SSH do projeto |
Desative o acesso das chaves SSH em todo o projeto às VMs de worker do Dataflow. constraints/dataflow.managed.blockProjectSshKeys
|
| Dataflow | Desativar IPs públicos |
Desative o uso de IPs públicos nas VMs de worker do Dataflow. constraints/dataflow.managed.disableUsePublicIps
|
| Contatos essenciais | Restringir domínios de contato |
Essa restrição define o conjunto de domínios permitidos que os endereços de e-mail adicionados aos Contatos essenciais podem ter. constraints/essentialcontacts.managed.allowedContactDomains
|
| Vários Google Cloud serviços | Restringir a ativação de endpoints mcp de serviço. |
Quando aplicada, garante que apenas os serviços na lista de permissões possam ter os endpoints do mcp ativados. Por padrão, essa restrição é aplicada e a lista de serviços permitidos está vazia, impedindo a ativação de qualquer endpoint do mcp. constraints/gcp.managed.mcpAllowedServices
|
| Identity and Access Management | Restringir membros permitidos em políticas de permissão do IAM |
Essa restrição define os conjuntos de principais da organização que podem receber papéis do IAM na sua organização. constraints/iam.managed.allowedPolicyMembers
|
| Identity and Access Management | Bloquear vinculações de chaves de API da conta de serviço |
Quando aplicada, desativa a criação de chaves de API vinculadas a contas de serviço. Para mais informações, consulte Ativar a vinculação de chaves a contas de serviço. constraints/iam.managed.disableServiceAccountApiKeyCreation
|
| Identity and Access Management | Desativar criação de conta de serviço |
Essa restrição booleana desativa a criação de contas de serviço em que essa restrição esteja definida como "True". constraints/iam.managed.disableServiceAccountCreation
|
| Identity and Access Management | Desativar criação de chave da conta de serviço |
Quando aplicada, essa restrição bloqueia a criação de chaves de conta de serviço. constraints/iam.managed.disableServiceAccountKeyCreation
|
| Identity and Access Management | Desativar upload de chave da conta de serviço |
Essa restrição booleana desativa o recurso que permite fazer upload de chaves públicas para contas de serviço em que a restrição esteja definida como "True". constraints/iam.managed.disableServiceAccountKeyUpload
|
| Identity and Access Management | Impedir papéis básicos privilegiados para contas de serviço padrão |
Quando essa restrição é aplicada, ela impede que alguém conceda o papel de Editor ( constraints/iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts
|
| Identity and Access Management | Contas da AWS permitidas que podem ser configuradas para a federação de identidade da carga de trabalho no Cloud IAM |
Lista de IDs de contas da AWS que podem ser configurados para a federação de identidade de carga de trabalho no Cloud IAM. constraints/iam.managed.workloadIdentityPoolAwsAccounts
|
| Identity and Access Management | Provedores de Identidade externos autorizados para cargas de trabalho no Cloud IAM |
Provedores de identidade que podem ser configurados para autenticação de carga de trabalho no Cloud IAM, especificados por URI/URLs. Essa restrição é gerenciada pelo Google. constraints/iam.managed.workloadIdentityPoolProviders
|
| Serviço gerenciado do Google Cloud para Apache Kafka | Desativar a criação e atualização de clusters do Kafka Connect |
Quando essa restrição booleana é aplicada, a criação e a atualização de clusters do Kafka Connect são desativadas. constraints/managedkafka.managed.disableKafkaConnectClusterCreateAndUpdate
|
| Pub/Sub | Desativa as transformações de mensagens únicas (SMTs) de assinatura. |
Não configure ou modifique esta política. Ela é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando essa restrição booleana é aplicada, as assinaturas do Pub/Sub não podem definir transformações de mensagem única (SMTs). constraints/pubsub.managed.disableSubscriptionMessageTransforms
|
| Pub/Sub | Desativa as transformações de mensagens únicas (SMTs) de tópicos. |
Não configure ou modifique esta política. Ela é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando essa restrição booleana é aplicada, os tópicos do Pub/Sub não podem definir transformações de mensagem única (SMTs). constraints/pubsub.managed.disableTopicMessageTransforms
|
| Cloud Run | Exigir verificação do invocador do IAM para serviços do Cloud Run |
Quando aplicada, essa restrição exige que a verificação do invocador do IAM seja ativada nos serviços do Cloud Run. constraints/run.managed.requireInvokerIam
|
| Spanner | Edições negadas para instâncias do Cloud Spanner |
A edição que você está tentando usar não é permitida pela política da sua organização. Analise a política e selecione uma edição permitida. constraints/spanner.managed.restrictCloudSpannerEditions
|
Restrições gerenciadas legadas
| Serviço | Restrição | Tipo de regra | Descrição |
|---|---|---|---|
| Vertex AI Workbench | Definir o modo de acesso para notebooks e instâncias do Vertex AI Workbench | Lista |
Esta restrição de lista define os modos de acesso permitidos para as instâncias e os notebooks do Vertex AI Workbench onde forem aplicados. A lista de permissão ou bloqueio pode especificar vários usuários com o modo Prefixo compatível:
|
| Vertex AI Workbench | Desativar downloads de arquivos em novas instâncias do Vertex AI Workbench | Booleano |
Quando aplicada, essa restrição booleana impede a criação de instâncias do Vertex AI Workbench com a opção de download de arquivo ativada. Por padrão, essa opção pode ser ativada em qualquer instância do Vertex AI Workbench.
|
| Vertex AI Workbench | Desativa o acesso raiz nas novas instâncias e notebooks do Vertex AI Workbench gerenciados pelos usuários. | Booleano |
Quando aplicada, esta restrição booleana impede que instâncias e notebooks do Vertex AI Workbench recém-criados e gerenciados pelos usuários ativem o acesso raiz. Por padrão, as instâncias e os notebooks do Vertex AI Workbench gerenciados pelos usuários podem ter o acesso raiz ativado.
|
| Vertex AI Workbench | Desativar terminal em novas instâncias do Vertex AI Workbench | Booleano |
Quando aplicada, essa restrição booleana impede a criação de instâncias do Vertex AI Workbench com o terminal ativado. Por padrão, o terminal pode ser ativado nas instâncias do Vertex AI Workbench.
|
| Vertex AI Workbench | Restringir opções de ambiente em novos notebooks gerenciados pelo usuário do Vertex AI Workbench | Lista |
Esta restrição de lista define as opções de imagens de contêineres e VMs dadas a um usuário ao criar novos notebooks gerenciados pelo usuário do Vertex AI Workbench. Para serem permitidas ou proibidas, as opções precisam ser listadas explicitamente. Prefixo compatível:
|
| Vertex AI Workbench | Exige atualizações programadas automáticas em novos notebooks e instâncias do Vertex AI Workbench gerenciados pelo usuário | Booleano |
Essa restrição booleana, quando aplicada, exige que as instâncias e os notebooks gerenciados pelo usuário do Vertex AI Workbench recém-criados tenham uma programação de atualização automática definida. A programação de atualização automática pode ser definida usando a flag de metadados
|
| Vertex AI Workbench | Restringe o acesso de IPs públicos em novas instâncias e notebooks do Vertex AI Workbench | Booleano |
Essa restrição booleana, quando aplicada, restringe o acesso de IP público a notebooks e instâncias recém-criados do Vertex AI Workbench. Por padrão, os IPs públicos podem acessar os notebooks e as instâncias do Vertex AI Workbench.
|
| Vertex AI Workbench | Restringir redes VPC em novas instâncias do Vertex AI Workbench | Lista |
Esta restrição de lista define as redes VPC que um usuário pode escolher ao criar instâncias do Vertex AI Workbench em que essa restrição é aplicada. Por padrão, uma instância do Vertex AI Workbench pode ser criada com qualquer rede VPC. A lista de redes permitidas ou negadas deve ser identificada no formato: Prefixos aceitos:
|
| Vertex AI | Definir o acesso aos modelos de IA generativa reservados do Google na Vertex AI | Lista |
Esta restrição de lista define o conjunto de modelos e recursos de IA generativa que podem ser usados nas APIs Vertex AI. Os valores da lista de permissões precisam seguir o formato Prefixo compatível:
|
| Vertex AI | Definir o acesso a modelos na Vertex AI | Lista |
A restrição de lista define o conjunto de modelos e recursos que podem ser usados nas APIs Vertex AI. Os valores da lista de permissões precisam seguir o formato " Prefixo compatível: Para mais informações, consulte Controlar o acesso aos modelos do Model Garden.
|
| Vertex AI | Defina os recursos avançados do modelo de parceiro gerenciado que podem ser usados na Vertex AI | Lista |
Esta restrição de lista define o conjunto de recursos avançados do modelo de parceiro gerenciado que podem ser usados nas APIs Vertex AI. Os valores da lista de permissões precisam seguir o formato " Prefixo compatível:
|
| Vertex AI | Desativar o embasamento com a Pesquisa Google nas APIs de IA generativa | Booleano |
Quando aplicada, essa restrição booleana desativa o embasamento com a Pesquisa Google nas APIs de IA generativa. Por padrão, o recurso está ativado.
|
| Vertex AI | Controlar fontes de base nas APIs generativas da Vertex AI | Lista |
Esta restrição de lista define o conjunto de fontes de fundamentação permitidas ou negadas para uso com as APIs generativas da Vertex AI. Prefixo compatível:
|
| App Engine | Desativar download do código-fonte | Booleano |
Desativa os downloads de código relacionados ao código-fonte enviado anteriormente por upload ao App Engine.
|
| App Engine | Isenção de implantação do ambiente de execução (App Engine) | Lista |
Esta restrição de lista define o conjunto dos ambientes de execução legados do App Engine padrão (Python 2.7, PHP 5.5 e Java 8) permitidos para implantações que já ultrapassaram a data de término do suporte. Essa data, no caso dos ambientes de execução legados padrão do App Engine, é 30 de janeiro de 2024. Em termos gerais, as tentativas de implantar aplicativos usando ambientes de execução legados após essa data serão bloqueadas. Confira a programação de suporte do ambiente de execução do App Engine padrão. Definir essa restrição como "Permitir" desbloqueia as implantações do App Engine padrão para os ambientes de execução legados especificados até a data de desativação desses ambientes. Definir essa restrição como "Permitir tudo" desbloqueia as implantações do App Engine padrão para todos os ambientes de execução legados até a data de desativação deles. Os ambientes de execução que chegaram ao fim do período de suporte não recebem patches de rotina de manutenção e segurança. Recomendamos que você faça o upgrade dos seus aplicativos para usar uma versão do ambiente de execução com disponibilidade geral. Prefixo compatível:
|
| BigQuery | Desativar o BigQuery Omni para Cloud AWS | Booleano |
Quando aplicada, essa restrição booleana impede que os usuários usem o BigQuery Omni para processar dados na Amazon Web Services.
|
| BigQuery | Desativar o BigQuery Omni para Cloud Azure | Booleano |
Quando aplicada, essa restrição booleana impede que os usuários usem o BigQuery Omni para processar dados no Microsoft Azure.
|
| Cloud Build | Integrações permitidas (Cloud Build) | Lista |
Esta restrição de lista define as integrações do Cloud Build com permissão para executar builds por recebimento de webhooks de serviços fora do Google Cloud. Quando essa restrição for aplicada, apenas os webhooks de serviços com um host que corresponda a um dos valores permitidos serão processados. Prefixo compatível: Para mais informações, consulte Controlar builds com base na política da organização.
|
| Cloud Build | Desativar a criação de conta de serviço padrão (Cloud Build) | Booleano |
Quando aplicada, esta restrição booleana impede a criação de uma conta de serviço legada do Cloud Build.
|
| Cloud Build | Usar a conta de serviço padrão (Cloud Build) | Booleano |
Quando aplicada, esta restrição booleana permite que a conta de serviço legada do Cloud Build seja usada por padrão.
|
| Cloud Build | Usar a conta de serviço padrão do Compute Engine (Cloud Build) | Booleano |
Quando aplicada, esta restrição booleana permite que a conta de serviço do Compute Engine seja usada por padrão.
|
| Cloud Deploy | Desativar rótulos de serviço do Cloud Deploy | Booleano |
Essa restrição booleana, quando aplicada, impede que o Cloud Deploy adicione rótulos de identificação aos objetos implantados.
|
| Cloud Run functions | Configurações de saída permitidas (Cloud Functions) | Lista |
Essa restrição de lista define as configurações de saída permitidas para a implantação de uma função do Cloud (1ª geração). Quando essa restrição é aplicada, as funções precisam ter configurações de entrada que correspondam a um dos valores permitidos. Prefixo compatível: Para mais informações, consulte Configurar políticas da organização.
|
| Cloud Run functions | Configurações de saída permitidas do conector de acesso VPC (Cloud Functions) | Lista |
Essa restrição de lista define configurações de saída do conector de VPC permitidas para a implantação de uma função do Cloud (1ª geração). Quando essa restrição é aplicada, as funções obrigatoriamente precisam ter configurações de saída do conector de VPC correspondentes a um dos valores permitidos. Prefixo compatível: Para mais informações, consulte Configurar políticas da organização.
|
| Cloud Run functions | Requer um Conector VPC (Cloud Functions) | Booleano |
Essa restrição booleana requer a configuração de um conector de VPC ao implantar uma função do Cloud (1ª geração). Quando essa restrição é aplicada, as funções precisam especificar obrigatoriamente um conector de VPC. Para mais informações, consulte Configurar políticas da organização.
|
| Cloud Run functions | Gerações permitidas do Cloud Functions | Lista |
Essa restrição de lista define o conjunto de gerações de função do Cloud permitidas que podem ser usadas para criar novos recursos de função. Valores válidos: Prefixo compatível:
|
| Cloud Key Management Service | Restringe quais tipos de CryptoKey do KMS podem ser criados. | Lista |
Esta restrição de lista define os tipos de chaves do Cloud KMS que podem ser criados em um determinado nó da hierarquia. Quando essa restrição é aplicada, somente os tipos de chaves KMS especificados nessa política da organização podem ser criados no respectivo nó da hierarquia. A configuração dessa política da organização também afetará o nível de proteção dos jobs de importação e das versões das chaves. Por padrão, todos os tipos de chaves são permitidos. Valores válidos: Prefixo compatível:
|
| Cloud Key Management Service | Destruição de chave restrita para versões de chave desativadas | Booleano |
Quando aplicada, essa restrição booleana só permite a destruição das versões de chaves que estejam no estado desativado. Por padrão, tanto as versões de chaves que estão no estado ativado quanto aquelas que estão no estado desativado podem ser destruídas. Quando essa restrição é aplicada, ela vale tanto para as versões de chaves novas quanto para as existentes.
|
| Cloud Key Management Service | Duração mínima programada de destruição por chave | Lista |
Essa restrição de lista define o valor mínimo para a duração do estado "programado para destruição" em dias que o usuário pode especificar ao criar uma nova chave. Nenhuma chave com a duração programada para destruição inferior a esse valor poderá ser criada depois que a restrição for imposta. Por padrão, o valor mínimo da duração programada para destruição de todas as chaves é de 1 dia, exceto no caso de chaves somente de importação, para as quais é de 0 dia. Prefixos aceitos:
|
| Cloud Scheduler | Tipos de segmentações permitida para jobs | Lista |
Esta restrição de lista define a lista de tipos de destino, como HTTP do App Engine, HTTP ou Pubsub, permitidos para jobs do Cloud Scheduler. Prefixo compatível:
|
| Cloud SQL | Restringir redes autorizadas em instâncias do Cloud SQL | Booleano |
Essa restrição booleana limita a adição de redes autorizadas no acesso de banco de dados sem proxy às instâncias do Cloud SQL em que a restrição é aplicada. Essa limitação não é retroativa, e as instâncias do Cloud SQL com redes autorizadas ainda funcionarão mesmo após a aplicação dela.
|
| Cloud SQL | Desativação de caminhos de acesso administrativo e diagnóstico no Cloud SQL para atender aos requisitos de conformidade. | Booleano |
Não configure ou modifique esta política. Essa restrição é configurada automaticamente durante a integração do Assured Workloads e destina-se apenas ao controle regulatório avançado do Assured Workloads. Quando essa restrição booleana for aplicada, alguns aspectos da capacidade de suporte serão prejudicados e todos os caminhos de acesso para diagnósticos e outros casos de uso de suporte ao cliente que não atendam aos requisitos de soberania avançada para Assured Workloads serão desativados.
|
| Cloud SQL | Restringir cargas de trabalho sem conformidade para instâncias do Cloud SQL. | Booleano |
Não configure ou modifique esta política. Ela é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando essa restrição booleana for aplicada, alguns aspectos da capacidade de suporte serão prejudicados. Além disso, recursos provisionados vão seguir rigorosamente os requisitos avançados de soberania do Assured Workloads. Essa política é retroativa e será válida para projetos atuais, mas sem afetar os recursos que já foram provisionados. Ou seja, modificações na política só serão refletidas em recursos criados depois dessas alterações.
|
| Cloud SQL | Restringir o acesso de IP público nas instâncias do Cloud SQL | Booleano |
Essa restrição booleana impede a configuração de IPs públicos em instâncias do Cloud SQL em que ela é aplicada. Essa limitação não é retroativa, e as instâncias do Cloud SQL com acesso atual de IP público ainda funcionarão mesmo após a aplicação dela.
|
| Google Cloud Marketplace | Desativar o marketplace público | Booleano |
Quando aplicada, esta restrição booleana desativa o Google Cloud Marketplace para todos os usuários na organização. Por padrão, o acesso ao marketplace público está ativado para a organização. Essa política só funciona quando o marketplace privado está ativado (https://cloud.google.com/marketplace/docs/governance/enable-private-marketplace).
|
| Google Cloud Marketplace | Restringir o acesso aos serviços do marketplace | Lista |
Essa restrição de lista define o conjunto de serviços permitidos para organizações de marketplace e só pode incluir valores da lista abaixo:
IAAS_PROCUREMENT estiver na lista de valores permitidos, a experiência de governança de compras de IaaS será ativada para todos os produtos. Por padrão, a experiência de governança de compras de IaaS fica desativada. A política IAAS_PROCUREMENT funciona de maneira independente da capacidade de governança de solicitação de compras, que é especificamente para produtos SaaS listados no Cloud Marketplace.Observação: o valor PRIVATE_MARKETPLACE não é mais aceito e não tem efeito. Para ativar o marketplace privado do Google, siga as instruções em https://cloud.google.com/marketplace/docs/governance/enable-private-marketplace. Prefixo compatível:
|
| Compute Engine | Configurações de criptografia de anexo da VLAN permitidas | Lista |
Essa restrição de lista define as configurações de criptografia permitidas para novos anexos da VLAN. Prefixo compatível:
|
| Compute Engine | Desativar o uso do IPv6 | Booleano |
Quando ativada, essa restrição booleana desativa a criação ou atualização dos recursos do Google Compute Engine envolvidos no uso do IPv6.
|
| Compute Engine | Desativar a criação de políticas de segurança do Cloud Armor | Booleano |
Quando aplicada, essa restrição booleana desativa a criação de novas políticas de segurança globais do Cloud Armor e a adição ou atualização de regras para políticas de segurança globais dele. Essa restrição não afeta a remoção de regras nem a remoção, descrição ou listagem de políticas de segurança globais do Cloud Armor. As políticas de segurança regionais do Cloud Armor não são afetadas por essa restrição. As políticas de segurança globais e regionais que existiam antes da aplicação dessa restrição continuam em vigor.
|
| Compute Engine | Desativar balanceamento de carga global | Booleano |
Essa restrição booleana desativa a criação de produtos de balanceamento de carga global. Quando aplicada, só podem ser criados produtos de balanceamento de carga regionais sem dependências globais. Por padrão, é permitido criar balanceamento de carga global.
|
| Compute Engine | Desativar criação de certificados SSL autogerenciados globais | Booleano |
Quando aplicada, essa restrição booleana desativa a criação de certificados SSL autogerenciados globais. A criação de certificados gerenciados pelo Google ou regionais não é desativada por esta restrição.
|
| Compute Engine | Desativar o acesso global às portas seriais de VMs | Booleano |
Esta restrição booleana desativa o acesso global à porta serial para as VMs do Compute Engine pertencentes à organização, ao projeto ou à pasta em que essa restrição é aplicada. Por padrão, os clientes podem ativar o acesso à porta serial para VMs do Compute Engine por VM ou por projeto usando atributos de metadados. Essa restrição desativa o acesso global à porta serial para VMs do Compute Engine, seja qual for os atributos de metadados. O acesso regional à porta serial não é afetado por essa restrição. Para desativar o acesso completo a essa porta, use a restrição "compute.disableSerialPortAccess".
|
| Compute Engine | Desativar os atributos de convidado dos metadados do Compute Engine | Booleano |
Essa restrição booleana desativa o acesso da API Compute Engine aos atributos de convidado das VMs do Compute Engine que pertencem à organização, ao projeto ou à pasta em que a restrição é aplicada.
|
| Compute Engine | Desativar o uso de IPv6 na nuvem híbrida | Booleano |
Essa restrição booleana, quando aplicada, desativa a criação ou as atualizações de recursos de nuvem híbrida, inclusive anexos de interconexão e gateways do Cloud VPN com um
|
| Compute Engine | Desativar instâncias das APIs de acesso a dados | Booleano |
Não configure ou modifique esta política. Essa restrição é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando aplicada, a restrição booleana desativa as APIs GetScreenshot e GetSerialPortOutput que acessam a saída da porta serial das VMs e coletam capturas de tela das UIs das VMs.
|
| Compute Engine | Desativar grupos de endpoints de rede de Internet | Booleano |
Esta restrição booleana limita a criação de Grupos de Endpoint de Rede (NEG, na sigla em inglês) de Internet com um
|
| Compute Engine | Desativar virtualização aninhada da VM | Booleano |
Essa restrição booleana desativa a virtualização aninhada acelerada por hardware de todas as VMs do Compute Engine pertencentes à organização, ao projeto ou à pasta em que essa restrição está definida.
|
| Compute Engine | Aplique tipos de máquinas em conformidade com o FIPS | Booleano |
Essa restrição booleana, quando aplicada, desativa a criação de tipos de instância de VM que não atendem aos requisitos do FIPS.
|
| Compute Engine | Desativar o Private Service Connect para consumidores | Lista |
Esta restrição de lista define o conjunto de tipos de endpoints do Private Service Connect para os quais os usuários não podem criar regras de encaminhamento. Quando essa restrição é aplicada, os usuários são impedidos de criar regras de encaminhamento para o tipo de endpoints do Private Service Connect. Essa restrição não é aplicada retroativamente.
GOOGLE_APIS na lista de permissões/negações restringirá a criação de regras de encaminhamento do Private Service Connect para acessar APIs do Google. O uso de SERVICE_PRODUCERS na lista de permissões/negações restringirá a criação de regras de encaminhamento do Private Service Connect para acessar serviços em outra rede VPC.
Prefixo compatível:
|
| Compute Engine | Desativar acesso à porta serial da VM | Booleano |
Essa restrição booleana desativa o acesso à porta serial para VMs do Compute Engine pertencentes à organização, ao projeto ou à pasta em que a restrição é aplicada.
|
| Compute Engine | Desativar o registro da porta serial da VM para o Stackdriver | Booleano |
Esta restrição booleana desativa a geração de registros de porta serial no Stackdriver a partir de VMs do Compute Engine que pertencem à organização, ao projeto ou à pasta em que a restrição está sendo aplicada.
|
| Compute Engine | Desativar SSH no navegador | Booleano |
Esta restrição booleana desativa no console do Cloud a ferramenta de "SSH no navegador" para VMs que usam VMs de Login do SO e de ambiente flexível do App Engine. Quando ela for aplicada, o botão de "SSH no navegador" será desativado. Por padrão, o uso da ferramenta de "SSH no navegador" é permitido.
|
| Compute Engine | Desativar o uso do IPv6 externo da VPC | Booleano |
Essa restrição booleana, quando aplicada, desativa a criação ou a atualização de sub-redes com um
|
| Compute Engine | Desativar o uso do IPv6 interno da VPC | Booleano |
Essa restrição booleana, quando aplicada, desativa a criação ou a atualização de sub-redes com um
|
| Compute Engine | Ativar as configurações necessárias para cargas de trabalho de proteção de memória de conformidade | Booleano |
Não configure ou modifique esta política. Essa restrição é configurada automaticamente durante a integração do Assured Workloads, sendo destinada apenas para o controle regulatório avançado do Assured Workloads. Ela controla as configurações necessárias para eliminar possíveis caminhos de acesso à memória principal da VM. Quando aplicada, ela limita a capacidade de acessar a memória principal da VM desativando caminhos de acesso e restringe a coleta de dados internos quando ocorre um erro.
|
| Compute Engine | Desativa o comportamento de falha de abertura para métodos de lista que exibem informações de cota de uma região. | Booleano |
Quando aplicada, essa restrição booleana desativa o comportamento de falha de abertura em falhas do lado do servidor para os métodos
|
| Compute Engine | Exigir configuração do SO | Booleano |
Quando aplicada, esta restrição booleana ativa o VM Manager (configuração do SO) em todos os novos projetos. Todas as instâncias de VM criadas em novos projetos têm o VM Manager ativado. Nos projetos novos e atuais, essa restrição impede atualizações de metadados que desativem o VM Manager no nível do projeto e da instância. Para mais informações, consulte Ativar a política da organização do OS Config.
|
| Compute Engine | Requer login do SO | Booleano |
Quando aplicada, esta restrição booleana ativa o Login do SO em todos os projetos recém-criados. Todas as instâncias de VM criadas em novos projetos terão o Login do SO ativado. Nos projetos novos e atuais, essa restrição impede as atualizações de metadados que desativam o login do SO no nível do projeto e da instância.
|
| Compute Engine | VMs protegidas | Booleano |
Quando ativada, essa restrição booleana exige que todas as novas instâncias de VM do Compute Engine usem imagens de disco protegidas, com as opções de inicialização segura, vTPM e monitoramento de integridade ativadas. É possível desativar a inicialização segura depois da criação. As instâncias em execução atuais continuarão a funcionar como de costume.
|
| Compute Engine | Exigir política SSL | Lista |
Essa restrição de lista define o conjunto de proxies SSL de destino e proxies HTTPS de destino que têm permissão para usar a política SSL padrão. Por padrão, todos os proxies SSL de destino e proxies HTTPS de destino têm permissão para usar a política SSL padrão. Quando essa restrição for aplicada, novos proxies SSL de destino e proxies HTTPS de destino serão necessários para especificar uma política SSL. A aplicação da restrição não é retroativa. Os proxies de destino existentes que usam a política SSL padrão não são afetados. A lista de proxies SSL e HTTPS de destino permitidos/negados precisa ser identificada no formato:
Prefixos aceitos:
|
| Compute Engine | Exigir políticas predefinidas para registros do fluxo de VPC | Lista |
Com esta restrição de lista, você define o conjunto de políticas predefinidas que pode ser aplicado aos registros do fluxo de VPC.
Prefixo compatível: Para mais informações, consulte Configurar restrições da política da organização para registros de fluxo de VPC.
|
| Compute Engine | Restringir o uso do Cloud NAT | Lista |
Essa restrição de lista define o conjunto de sub-redes que podem usar o Cloud NAT. Por padrão, todas as sub-redes podem usar o Cloud NAT. A lista de sub-redes permitidas/negadas deve ser identificada no formato: Prefixos aceitos: Para mais informações, consulte Restrições da política da organização.
|
| Compute Engine | Restringir buckets e serviços de back-end entre projetos | Lista |
Esta restrição de lista limita os recursos de bucket de back-end e serviço de back-end a que um recurso urlMAP pode ser anexado. A restrição não se aplica aos recursos de bucket de back-end e serviço de back-end no mesmo projeto que o recurso urlMap. Por padrão, um recurso urlMap em um projeto pode referenciar recursos compatíveis de bucket de back-end e serviço de back-end em outros projetos na mesma organização, desde que o usuário tenha a permissão compute.backendService.use, compute.regionBackendServices.use ou compute.backendBuckets.use. Para evitar conflitos, recomendamos não usar esta restrição com compute.restrictSharedVpcBackendServices. Os projetos, as pastas e os recursos da organização em listas de permissões ou negações afetam todos os buckets de back-end e serviços de back-end abaixo deles na hierarquia de recursos. Somente projetos, pastas e recursos de organização podem ser incluídos na lista de permissões ou negações, e precisam ser especificados no formato:
Prefixos aceitos:
|
| Compute Engine | Restringir uso da Interconexão dedicada | Lista |
Essa restrição de lista define o conjunto de redes do Compute Engine que podem usar a Interconexão dedicada. Por padrão, as redes podem usar qualquer tipo de Interconexão. A lista de redes permitidas/negadas deve ser identificada no formato: Prefixos aceitos: Para mais informações, consulte Como restringir o uso do Cloud Interconnect.
|
| Compute Engine | Restringir a criação de balanceadores de carga com base em tipos de balanceador de carga | Lista |
Essa restrição de lista define o conjunto de tipos de balanceadores de carga que podem ser criados para uma organização, pasta ou projeto. Cada tipo de balanceador de carga a ser permitido ou negado precisa ser listado explicitamente. Por padrão, é permitido criar todos os tipos de balanceadores de carga.
Para incluir todos os tipos de balanceador de carga interno ou externo, use o prefixo "in:" seguido de "INTERNAL" ou "EXTERNAL". Por exemplo, permitir "in:INTERNAL" permitirá todos os tipos de balanceador de carga da lista acima que incluem INTERNAL. Para mais informações sobre como restringir tipos de balanceador de carga, consulte https://cloud.google.com/load-balancing/docs/org-policy-constraints. Prefixos aceitos: Para mais informações, consulte Restrições da política da organização para o Cloud Load Balancing.
|
| Compute Engine | Restringir computação não confidencial | Lista |
A lista de proibições dessa restrição de lista define o conjunto de serviços que exigem que todos os novos recursos sejam criados com a Computação confidencial ativada. Por padrão, os novos recursos não precisam usar a Computação confidencial. Essa restrição de lista é aplicada, mas a Computação confidencial não poderá ser desativada durante todo o ciclo de vida do recurso. Os recursos existentes continuarão a funcionar normalmente. A lista de serviços negados precisa ser identificada como o nome da string de uma API e só pode incluir valores explicitamente negados da lista abaixo. No momento, não há compatibilidade com permissão explícita de APIs. Negar explicitamente APIs que não estejam na lista resultará em erro. Lista de APIs compatíveis: [compute.googleapis.com, container.googleapis.com] Prefixo compatível:
|
| Compute Engine | Restringir uso da Interconexão por parceiro | Lista |
Essa restrição de lista define o conjunto de redes do Compute Engine que podem usar a Interconexão por parceiro. Por padrão, as redes podem usar qualquer tipo de Interconexão. A lista de redes permitidas/negadas deve ser identificada no formato: Prefixos aceitos: Para mais informações, consulte Como restringir o uso do Cloud Interconnect.
|
| Compute Engine | Restringir consumidores permitidos do Private Service Connect | Lista |
Essa restrição de lista define as organizações, pastas e projetos que podem se conectar a anexos de serviço dentro da organização ou do projeto de um produtor. As listas permitidas ou negadas devem ser identificadas no seguinte formato: Prefixos aceitos: Para mais informações, consulte Gerenciar a segurança para consumidores do Private Service Connect.
|
| Compute Engine | Procedimentos restritos permitidos do Private Service Connect | Lista |
Esta restrição de lista define a quais anexos de serviço os consumidores do Private Service Connect podem se conectar. A restrição bloqueia a implantação de endpoints ou back-ends do Private Service Connect com base na organização, na pasta ou no recurso de projeto do anexo de serviço a que os endpoints ou back-ends se referem. As listas permitidas ou negadas devem ser identificadas no seguinte formato: Prefixos aceitos: Para mais informações, consulte Gerenciar a segurança para consumidores do Private Service Connect.
|
| Compute Engine | Restringir o uso do encaminhamento de protocolo | Lista |
Esta restrição de lista define o tipo de objetos de regra de encaminhamento de protocolo com a instância de destino que um usuário pode criar. Quando essa restrição é aplicada, novos objetos de regras de encaminhamento com instância de destino são limitados a endereços IP internos e/ou externos, com base nos tipos especificados. Os tipos permitidos ou negados precisam ser listados explicitamente. Por padrão, a criação de objetos de regra de encaminhamento de protocolo interno e externo com a instância de destino é permitida.
Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Prefixo compatível: Para mais informações, consulte Visão geral do encaminhamento de protocolo.
|
| Compute Engine | Restringir os serviços de back-end da VPC compartilhada | Lista |
Essa restrição de lista define o conjunto de serviços de back-end da VPC compartilhada que os recursos qualificados podem usar. Essa restrição não se aplica a recursos dentro do mesmo projeto. Por padrão, os recursos qualificados podem usar qualquer serviço de back-end de VPC compartilhada. A lista de serviços de back-end permitidos/negados precisa ser especificada no formato: Prefixos aceitos:
|
| Compute Engine | Restringir projetos de host de VPC compartilhada | Lista |
Esta restrição de lista define o conjunto de projetos host de VPC compartilhada aos quais os projetos neste recurso ou abaixo dele podem ser anexados. Por padrão, um projeto pode ser anexado a qualquer projeto host na mesma organização, tornando-se um projeto de serviço. Projetos, pastas e organizações em listas permitidas/negadas afetam todos os objetos abaixo deles na hierarquia de recursos e devem ser especificados no formulário: Prefixos aceitos:
|
| Compute Engine | Restrinja as sub-redes de VPC compartilhadas | Lista |
Esta restrição de lista define o conjunto de sub-redes VPC compartilhadas que pode ser usado por recursos qualificados. Esta restrição não se aplica a recursos dentro do mesmo projeto. Por padrão, os recursos qualificados podem usar qualquer sub-rede VPC compartilhada. A lista de sub-redes permitidas/negadas deve ser especificada no formato: Prefixos aceitos:
|
| Compute Engine | Restringir o uso de peering de VPC | Lista |
Nesta restrição de lista é definido o conjunto de redes VPC que têm permissão de peering com as redes VPC que pertencem a esse projeto, pasta ou organização. Cada extremidade de peering precisa ter permissão de peering. Por padrão, um administrador de rede para uma rede tem permissão de peering com qualquer outra rede. A lista de redes permitidas/negadas deve ser identificada no formato: Prefixos aceitos:
|
| Compute Engine | Restringir IPs de peering de VPN | Lista |
Esta restrição de lista define o conjunto de endereços IP válidos que podem ser configurados como IPs de peer de VPN. Por padrão, qualquer IP pode ser um IP de peer VPN para uma rede VPC. A lista de permissões/negações de endereços IP precisa ser especificada como endereços IP válidos no formato: Prefixo compatível: Para mais informações, consulte Como restringir endereços IP de peering por meio de um túnel do Cloud VPN.
|
| Compute Engine | Define a configuração do DNS interno para novos projetos como "Somente DNS zonal" | Booleano |
Quando aplicada, os projetos recém-criados usarão o DNS zonal como padrão. Por padrão, essa restrição é definida como Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud .
|
| Compute Engine | Projetos de proprietário de reservas compartilhadas | Lista |
Esta restrição de lista define o conjunto de projetos que podem criar e ter reservas compartilhadas na organização. Uma reserva compartilhada é semelhante a uma reserva local. A diferença é que, em vez de ser consumida apenas por projetos de proprietário, ela pode ser consumida por outros projetos do Compute Engine na hierarquia de recursos. A lista de projetos com permissão para acessar a reserva compartilhada precisa ter o formato: Prefixos aceitos:
|
| Compute Engine | Pular criação de rede padrão | Booleano |
Essa restrição booleana pula a criação da rede padrão e dos recursos relacionados durante a criação do recurso Projeto do Google Cloud Platform em que a restrição é aplicada. Por padrão, uma rede padrão e os recursos de suporte são criados automaticamente quando um recurso de projeto é criado.
|
| Compute Engine | Restrições de uso de recursos do Compute Storage (discos, imagens e snapshots do Compute Engine) | Lista |
Com essa restrição de lista, é definido um conjunto de projetos que podem usar os recursos de armazenamento do Compute Engine. Por padrão, qualquer pessoa com permissões apropriadas do Cloud IAM pode acessar os recursos do Compute Engine. Para usar essa restrição, os usuários precisam ter as permissões do Cloud IAM e não podem ter limitações para acessar o recurso. Prefixos aceitos:
|
| Compute Engine | Definir projetos de imagens confiáveis | Lista |
Essa restrição de lista define o conjunto de projetos que podem ser usados para armazenamento de imagens e instanciação de disco do Compute Engine. Prefixo compatível: Para mais informações, consulte Definir restrições de acesso a imagens.
|
| Compute Engine | Restringir encaminhamento IP da VM | Lista |
Esta restrição de lista define o conjunto de instâncias da VM que pode ativar o encaminhamento de IP. Por padrão, qualquer VM pode ativar o encaminhamento IP em qualquer rede virtual. As instâncias de VM devem ser especificadas no formulário: Prefixos aceitos:
|
| Compute Engine | Definir os IPs externos de instâncias de VM permitidas | Lista |
Com essa restrição de lista, é definido o conjunto de instâncias de VMs do Compute Engine que podem usar endereços IPv4 externos. Essa restrição não limita o uso de endereços IPv6. Prefixo compatível: Para mais informações, consulte Restringir o acesso de IP externo a instâncias específicas.
|
| Compute Engine | Desativar a permissão do Identity-Aware Proxy (IAP) em recursos globais | Booleano |
Quando aplicada, essa restrição booleana desativa o Identity-Aware Proxy nos recursos globais. A ativação do IAP em recursos regionais não é impedida por essa restrição.
|
| Google Kubernetes Engine | Desative os caminhos de acesso administrativo de diagnóstico no GKE. | Booleano |
Não configure ou modifique esta política. Essa restrição é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando essa restrição booleana for aplicada, todos os caminhos de acesso para diagnósticos e outros casos de uso de suporte ao cliente que não atendam aos requisitos do Assured Workloads serão desativados.
|
| Dataform | Restringir gits remotos em repositórios no Dataform | Lista |
Essa restrição de lista define um conjunto de controles remotos com os quais os repositórios do projeto do Dataform podem se comunicar. Para bloquear a comunicação com todos os controles remotos, defina o valor como Prefixo compatível: Para mais informações, consulte Restringir repositórios remotos.
|
| Datastream | Datastream: bloquear métodos de conectividade pública | Booleano |
Por padrão, os perfis de conexão do Datastream podem ser criados com métodos de conectividade públicos ou privados. Se a restrição booleana para esta política da organização for aplicada, somente métodos de conectividade particulares (por exemplo, o peering de VPC) podem ser usados para criar perfis de conexão.
|
| Contatos essenciais | Contatos restritos ao domínio | Lista |
Essa restrição de lista define o conjunto de domínios que os endereços de e-mail adicionados aos Contatos Essenciais podem ter. Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Prefixo compatível:
|
| Contatos essenciais | Desativar contatos de segurança do projeto | Booleano |
Quando aplicada, esta restrição booleana permite que os administradores das políticas da organização garantam que apenas os contatos atribuídos no nível da pasta ou da organização possam receber notificações de segurança. Mais especificamente, a aplicação dessa restrição impede que os proprietários do projeto e administradores dos contatos criem ou atualizem um contato essencial com um campo
|
| Firestore | Exigir o agente de serviço do Firestore para importação/exportação | Booleano |
Quando aplicada, essa restrição booleana exige que as importações e exportações do Firestore usem o agente de serviço do Firestore.
|
| API Cloud Healthcare | Desativar o Cloud Logging na API Cloud Healthcare | Booleano |
Quando aplicada, essa restrição booleana desativa o Cloud Logging na API Cloud Healthcare. Para mais informações, consulte Desativar o Cloud Logging na API Cloud Healthcare.
|
| Identity and Access Management | Permitir a extensão de tokens de acesso do OAuth 2.0 para até 12 horas | Lista |
Essa restrição de lista define o conjunto de contas de serviço que podem receber tokens de acesso OAuth 2.0 com duração de até 12 horas. Por padrão, a vida útil máxima desses tokens de acesso é de 1 hora. Prefixo compatível: Para mais informações, consulte Estender o ciclo de vida dos tokens de acesso do OAuth 2.0.
|
| Identity and Access Management | Compartilhamento restrito de domínio | Lista |
Esta restrição de lista define os conjuntos de principais da organização e os IDs de cliente do Google Workspace com principais que podem ser adicionados às políticas do IAM. Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Prefixo compatível: Para mais informações, consulte Como restringir identidades por domínio.
|
| Identity and Access Management | Desativar a isenção de geração de registros de auditoria | Booleano |
Quando aplicada, essa restrição booleana impede que principais adicionais sejam isentos do registro de auditoria. Essa restrição não afeta isenções de registro de auditoria que existiam antes de você aplicar a restrição.
|
| Identity and Access Management | Desativar o uso da conta de serviço entre projetos | Booleano |
Quando aplicadas, as contas de serviço só poderão ser implantadas (usando o papel ServiceAccountUser) nos jobs (VMs, funções etc.) em execução no mesmo projeto da conta de serviço. Para mais informações, consulte Configurar um recurso em um projeto diferente.
|
| Identity and Access Management | Desativar criação de conta de serviço | Booleano |
Com esta restrição booleana, é desativada a criação de contas de serviço em que ela é aplicada. Para mais informações, consulte Desativar a conta de serviço serviço.
|
| Identity and Access Management | Desativar criação de chave da conta de serviço | Booleano |
Quando aplicada, essa restrição booleana desativa a criação de chaves externas da conta de serviço e chaves HMAC do Cloud Storage. Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Para mais informações, consulte Desativar a criação de chaves de conta de serviço.
|
| Identity and Access Management | Desativar upload de chave da conta de serviço | Booleano |
Com essa restrição booleana, é desativado o recurso que permite fazer upload de chaves públicas para contas de serviço em que a restrição seja aplicada. Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Para mais informações, consulte Desativar o upload de chaves de conta de serviço.
|
| Identity and Access Management | Desativar a criação de cluster da Identidade da carga de trabalho | Booleano |
Quando aplicada, essa restrição booleana requer que todos os novos clusters do GKE tenham a Identidade da Carga de Trabalho desativada no momento da criação. Esses clusters que já têm o recurso ativado continuarão funcionando normalmente. Por padrão, a Identidade da Carga de Trabalho pode ser ativada para qualquer cluster do GKE. Para mais informações, consulte Desativar a criação de clusters de identidade da carga de trabalho.
|
| Identity and Access Management | Duração em horas da expiração da chave da conta de serviço | Lista |
Esta restrição de lista define a duração máxima permitida antes que a chave da conta de serviço expire. Por padrão, as chaves criadas nunca expiram.
inheritFromParent=false no arquivo de política se estiver usando a CLI gcloud. Não é possível mesclar esta restrição com uma política mãe. A aplicação da restrição não é retroativa e não vai mudar as chaves pré-existentes.
Prefixo compatível:
|
| Identity and Access Management | Resposta à exposição de uma chave de conta de serviço | Lista |
Esta restrição de lista define a resposta recebida se o Google detectar que uma chave de conta de serviço vinculada foi publicamente exposta. As chaves monitoradas incluem chaves de conta de serviço de longa duração e chaves de API vinculadas a uma conta de serviço. Se não for definido, o padrão será o comportamento descrito em Prefixo compatível:
|
| Identity and Access Management | Contas da AWS permitidas que podem ser configuradas para a federação de identidade da carga de trabalho no Cloud IAM | Lista |
Lista de IDs de contas da AWS que podem ser configurados para a federação de identidade de carga de trabalho no Cloud IAM. Prefixo compatível:
|
| Identity and Access Management | Provedores de Identidade externos autorizados para cargas de trabalho no Cloud IAM | Lista |
Provedores de identidade que podem ser configurados para autenticação de carga de trabalho no Cloud IAM, especificados por URI/URLs. Prefixo compatível:
|
| Cloud Service Mesh | Modo VPC Service Controls permitido para planos de controle gerenciados do Anthos Service Mesh. | Lista |
Essa restrição determina quais modos do VPC Service Controls podem ser definidos ao provisionar um novo plano de controle gerenciado do Anthos Service Mesh. Os valores válidos são "NONE" e "COMPATIBLE". Prefixo compatível:
|
| VM Manager | VM Manager: restringe o uso de script inline e arquivo de saída | Booleano |
Quando definida como "Verdadeira", esta restrição booleana limita a criação ou a modificação de recursos do VM Manager que usem scripts inline ou arquivos de saída binários, em compliance com Assured Workloads. Mais especificamente, os campos "script" e "output_file_path" dos recursos OSPolicyAssignment e PolicyOrchestrator precisam permanecer vazios.
|
| Pub/Sub | Aplicação de regiões em trânsito para mensagens do Pub/Sub. | Booleano |
Essa restrição booleana, quando aplicada, define MessageStoragePolicy::enforce_in_transit como verdadeiro para todos os novos tópicos do Pub/Sub no momento da criação. Isso garante que os dados do cliente transitem somente dentro das regiões permitidas especificadas na política de armazenamento de mensagens para o tópico.
|
| Resource Manager | Restringir a remoção da garantia do projeto de VPC compartilhada | Booleano |
Essa restrição booleana impede que o conjunto de usuários remova a garantia de host da VPC compartilhada sem permissão no nível da organização quando essa restrição é aplicada.
|
| Resource Manager | Restringir a remoção de garantias da conta de serviço entre projetos | Booleano |
Essa restrição booleana, quando aplicada, impede que os usuários removam uma garantia da conta de serviço entre projetos sem permissão no nível da organização. Por padrão, qualquer usuário com permissão para atualizar garantias pode remover uma garantia da conta de serviço entre projetos. A aplicação dessa restrição exige que a permissão seja concedida no nível da organização. Para mais informações, consulte Configurar um recurso em um projeto diferente.
|
| Resource Manager | Restringir visibilidade da consulta de recursos | Lista |
Quando esta restrição de lista é aplicada a um recurso de organização, ela define o conjunto de recursos do Google Cloud que é retornado nos métodos de pesquisa e lista usados pelos usuários que estão no domínio da organização em que a restrição é implementada. Use para limitar quais recursos ficarão visíveis em várias partes do Console do Cloud, como a página “Gerenciar recursos”, “Pesquisa” e “Seletor de recursos”. Essa restrição é avaliada somente no nível da organização. Os valores especificados nas listas de permissão/negação precisam estar no formato: Prefixos aceitos: Para mais informações, consulte Como restringir a visibilidade do projeto para usuários.
|
| Resource Manager | Exigir lista de serviços ativados em toda a organização | Lista |
Essa restrição de lista funciona como uma checagem para verificar se um projeto com um serviço ativado está qualificado para a mudança entre organizações. Um recurso com um serviço compatível ativado precisa ter essa restrição aplicada, e esse serviço incluído nos valores permitidos para se qualificar para uma mudança entre organizações. A lista atual de valores permitidos para serviços compatíveis que podem ser usados é:
Essa restrição fornece um controle adicional sobre constraints/resourcemanager.allowedExportDestinations. Esta list_constraint está vazia por padrão e não bloqueará movimentos entre organizações, a menos que um serviço compatível seja ativado no recurso a ser exportado. Essa restrição permite um controle mais refinado sobre os recursos por meio de funcionalidades que exigem mais atenção ao serem movidas para outra organização. Por padrão, um recurso com um serviço compatível ativado não pode ser movido entre organizações. Prefixo compatível:
|
| Resource Manager | Destinos permitidos para exportar recursos | Lista |
Esta restrição de lista define o conjunto de organizações externas para as quais os recursos podem ser movidos e nega todos os movimentos para todas as outras organizações. Por padrão, os recursos não podem ser movidos entre organizações. Se essa restrição for aplicada a um recurso, ele só poderá ser movido para organizações que forem explicitamente permitidas por essa restrição. As mudanças dentro de uma organização não são regidas por essa restrição. A operação de transferência ainda exigirá as mesmas permissões do IAM que as permissões normais de recursos. Os valores especificados nas listas de permissão/negação precisam estar no formato: Prefixos aceitos:
|
| Resource Manager | Fontes permitidas para importação de recursos | Lista |
Esta restrição de lista define o conjunto de organizações externas das quais é possível importar recursos e nega todos os movimentos de todas as outras organizações. Por padrão, não é possível mover recursos entre organizações. Se essa restrição for aplicada a um recurso, os recursos importados diretamente abaixo dele precisarão ser explicitamente permitidos por essa restrição. A restrição não rege as mudanças na mesma organização ou de fora para dentro de uma organização. A operação de transferência ainda exigirá as mesmas permissões do IAM que as permissões normais de recursos. Os valores especificados nas listas de permissão/negação precisam estar no formato: Prefixos aceitos:
|
| Cloud Run | Políticas de autorização binária permitidas (Cloud Run) | Lista |
Esta restrição de lista define o conjunto de nomes de políticas de autorização binária que podem ser especificados em um recurso do Cloud Run. Para permitir/proibir uma política padrão, use o valor Prefixo compatível:
|
| Cloud Run | Configurações de entrada permitidas (Cloud Run) | Lista |
Esta restrição de lista define as configurações de entrada permitidas para os serviços do Cloud Run. Quando essa restrição é aplicada, os serviços precisam ter configurações de entrada que correspondam a um dos valores permitidos. Os serviços atuais do Cloud Run com configurações de entrada que violam essa restrição podem continuar sendo atualizados até que as configurações de entrada do serviço sejam alteradas para obedecer a essa restrição. Depois que um serviço obedece a essa restrição, ele só poderá usar as configurações de entrada permitidas. Prefixo compatível: Para mais informações, consulte Restringir as configurações de entrada permitidas.
|
| Cloud Run | Configurações de saída de VPC permitidas (Cloud Run) | Lista |
Esta restrição de lista define as configurações de saída de VPC com permissão a serem especificadas em um recurso do Cloud Run. Quando essa restrição é aplicada, os recursos do Cloud Run precisam ser implantados com um conector com acesso VPC sem servidor ou com a saída de VPC direta ativada, e as configurações de saída da VPC precisam corresponder a um dos valores permitidos. Prefixo compatível: Para mais informações, consulte Restringir as configurações de saída de VPC permitidas.
|
| Gestão de consumidores de serviço | Desativar concessões automáticas do IAM para contas de serviço padrão | Booleano |
Essa restrição booleana, quando aplicada, impede que as contas de serviço default do App Engine e do Compute Engine recebam automaticamente qualquer papel IAM no projeto quando são criadas. Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud .
|
| Vários Google Cloud serviços | Pools de workers permitidos (Cloud Build) | Lista |
Esta restrição de lista define o conjunto de pools de workers do Cloud Build permitidos para criar builds usando o Cloud Build. Quando essa restrição é aplicada, os builds precisam ser compilados em um pool de workers que corresponda a um dos valores permitidos.
Prefixos aceitos:
|
| Vários Google Cloud serviços | Google Cloud Platform - Restrição de localização de recursos | Lista |
Essa restrição de lista define o conjunto de locais em que é possível criar recursos do Google Cloud baseados em localização. Importante: as informações nesta página não descrevem os compromissos de localização de dados do Google Cloud Platform relativos a dados do cliente (conforme definidos no contrato com o Google e descritos no resumo dos serviços do Google Cloud Platform em https://cloud.google.com/terms/services). Para ver a lista de serviços do Google Cloud Platform em que a localização dos dados do cliente pode ser selecionada pelos clientes, consulte Serviços do Google Cloud Platform com residência de dados em https://cloud.google.com/terms/data-residency. Prefixos aceitos: Para mais informações, consulte Como restringir locais de recursos.
|
| Vários Google Cloud serviços | Restringir quais projetos podem fornecer CryptoKeys do KMS para CMEK | Lista |
Esta restrição de lista define os projetos que podem ser usados para fornecer chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês) ao criar recursos. Definir essa restrição como
Deny ou Deny All. A aplicação dessa restrição não é retroativa. Os recursos atuais do Google Cloud CMEK com CryptoKeys KMS de projetos não permitidos precisam ser reconfigurados ou recriados manualmente para garantir a aplicação.
Prefixos aceitos: Para mais informações, consulte Políticas da organização de CMEK.
|
| Vários Google Cloud serviços | Restringir o uso de endpoints | Lista |
Essa restrição de lista define o conjunto de endpoints de API do Google Cloud que podem ser usados para acessar recursos em uma organização, pasta ou projeto. Essa restrição pode ser usada no modo de teste. Prefixos aceitos: Para mais informações, consulte Restringir o uso de endpoints.
|
| Vários Google Cloud serviços | Restringir quais serviços podem criar recursos sem CMEK | Lista |
Essa restrição de lista define os serviços que exigem chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês). Definir essa restrição como
Deny All. Não é permitido definir essa restrição como Allow. A aplicação dessa restrição não é retroativa. Para garantir a aplicação, os recursos do Google Cloud não CMEK precisam ser reconfigurados ou recriados manualmente.
Prefixo compatível: Para mais informações, consulte Políticas da organização de CMEK.
|
| Vários Google Cloud serviços | Restringir o uso do serviço de recursos | Lista |
Essa restrição define o conjunto de serviços de recursos do Google Cloud que podem ser usados em uma organização, pasta ou projeto, como compute.googleapis.com e storage.googleapis.com. Essa restrição pode ser usada no modo de teste. Prefixo compatível: Para mais informações, consulte Como restringir o uso de recursos.
|
| Vários Google Cloud serviços | Restringir pacotes de criptografia TLS | Lista |
Essa restrição de lista define o conjunto de pacotes de criptografia TLS que podem ser usados para acessar recursos em uma organização, pasta ou projeto em que a restrição foi aplicada. Essa restrição pode ser usada no modo de teste. Prefixos aceitos:
|
| Vários Google Cloud serviços | Restringir versões TLS | Lista |
Esta restrição define o conjunto de versões do TLS que não podem ser usadas na organização, na pasta ou no projeto onde a restrição for aplicada, ou em qualquer filho desse recurso na hierarquia relacionada. Essa restrição pode ser usada no modo de teste. Prefixo compatível: Para mais informações, consulte Restringir versões do TLS.
|
| Vários Google Cloud serviços | Desativar a permissão do Identity-Aware Proxy (IAP) em recursos regionais | Booleano |
Quando aplicada, essa restrição booleana desativa a permissão do Identity-Aware Proxy nos recursos regionais. Essa restrição não impede a ativação do IAP em recursos globais.
|
| Vários Google Cloud serviços | Restringir as APIs e os serviços permitidos do Google Cloud | Lista |
Com essa restrição de lista, são restringidos o conjunto de serviços e as respectivas APIs que podem ser ativadas nesse recurso. Por padrão, todos os serviços são permitidos. Prefixo compatível:
|
| Spanner | Ativar o controle avançado de serviços para cargas de trabalho de conformidade | Booleano |
Não configure ou modifique esta política. Ela é configurada automaticamente durante a integração do Assured Workloads e é destinada apenas para o controle regulatório avançado do Assured Workloads. Quando essa restrição booleana for aplicada, alguns aspectos da capacidade de suporte serão prejudicados. Além disso, recursos provisionados vão seguir rigorosamente os requisitos avançados de soberania do Assured Workloads. A política será válida para projetos atuais, mas ela não vai afetar recursos que já foram provisionados. Ou seja, as alterações na política só vão ser refletidas nos recursos criados depois dessas modificações.
|
| Spanner | Desativar o Cloud Spanner multirregional se nenhum local for selecionado | Booleano |
Não configure ou modifique esta política. Ela é configurada automaticamente durante a integração do Assured Workloads, sendo destinada apenas para o controle regulatório avançado do Assured Workloads. Essa restrição booleana, quando aplicada, impede a criação de instâncias do Spanner usando a configuração de instância multirregional, a menos que um local seja selecionado. Atualmente, o Cloud Spanner ainda não oferece suporte à seleção de local, portanto, nenhuma das multirregiões vai ser permitida. No futuro, o Spanner vai fornecer a funcionalidade para que os usuários selecionem um local multirregional. A aplicação dessa restrição não é retroativa. As instâncias do Spanner que já foram criadas não serão afetadas.
|
| Cloud Storage | Google Cloud Platform: modo de geração de registros de auditoria detalhado | Booleano |
Quando o modo de geração de registros de auditoria detalhado é aplicado, a solicitação e a resposta são incluídas nos Registros de auditoria do Cloud. As alterações nesse recurso podem levar até 10 minutos para serem aplicadas. Esta política organizacional é altamente recomendada com o bloqueio de buckets para quem quiser estar em conformidade, por exemplo, com a Regra SEC 17a-4(f), a Regra CFTC 1.31(c)-(d) e a FINRA 4511(c). Somente o Cloud Storage oferece suporte a esta política, atualmente. Para mais informações, consulte Restrições da política da organização para o Cloud Storage.
|
| Cloud Storage | Aplicar a prevenção de acesso público | Booleano |
Proteja os dados do Cloud Storage contra exposição pública aplicando a prevenção ao acesso público. Essa política de governança impede o acesso por Internet pública aos recursos atuais e futuros ao desativar e bloquear as ACLs e as permissões do IAM que concedem acesso a Para mais informações, consulte Restrições da política da organização para o Cloud Storage.
|
| Cloud Storage | Cloud Storage: restringir tipos de autenticação | Lista |
A restrição define o conjunto de tipos de autenticação que não pode acessar os recursos de armazenamento na organização no Cloud Storage. Os valores aceitos são Prefixos aceitos:
|
| Cloud Storage | Duração da política de retenção, em segundos | Lista |
Essa restrição de lista define o conjunto de durações das políticas de retenção que pode ser definido nos buckets do Cloud Storage. Prefixo compatível: Para mais informações, consulte Restrições da política da organização para o Cloud Storage.
|
| Cloud Storage | Restringir acesso HTTP não criptografado | Booleano |
Quando aplicada, esta restrição booleana nega explicitamente o acesso (não criptografado) HTTP a todos os recursos de armazenamento. Por padrão, a API XML do Cloud Storage permite acesso HTTP não criptografado. O console do Cloud, o gRPC e a API JSON do Cloud Storage só permitem acesso HTTP criptografado aos recursos do Cloud Storage.
|
| Cloud Storage | Cloud Storage: duração da retenção de política de exclusão reversível em segundos | Lista |
Essa restrição define as durações de retenção permitidas para as políticas de exclusão reversível definidas nos buckets do Cloud Storage em que ela está aplicada. Qualquer operação de inserção, atualização ou patch de um bucket em que essa restrição está aplicada precisa ter uma duração de política de exclusão reversível que corresponda à restrição. Quando uma nova política da organização é aplicada, a política de exclusão reversível dos buckets atuais permanece inalterada e válida. Por padrão, se nenhuma política da organização for especificada, um bucket do Cloud Storage poderá ter uma política de exclusão reversível de qualquer duração. Prefixo compatível:
|
| Cloud Storage | Execute o acesso uniforme no nível do bucket | Booleano |
Essa restrição booleana exige que os buckets usem um acesso uniforme no nível do bucket, em que essa restrição é definida como Essa restrição é provisionada automaticamente como parte do nível de segurançaGoogle Cloud . Para mais informações, consulte Restrições da política da organização para o Cloud Storage.
|
Saiba mais
Para saber mais sobre os principais conceitos da política da organização:
Leia sobre o que são restrições.
Leia como usar restrições para criar políticas da organização.
Leia sobre como funciona a avaliação hierárquica.