Exemples de restrictions sur les organisations

Vous pouvez utiliser des restrictions sur les organisations pour contrôler le trafic sortant de votre réseau afin que les utilisateurs et les charges de travail ne puissent accéder qu'aux organisationsGoogle Cloud autorisées. Ces restrictions permettent d'empêcher l'exfiltration de données vers des environnements externes non autorisés. Les exemples suivants montrent comment configurer l'en-tête de requête de restrictions sur les organisations pour des scénarios courants, tels qu'une ou plusieurs organisations, l'accès en lecture à Cloud Storage et les requêtes d'importation.

Limiter l'accès à votre organisation uniquement

Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation A s'engagent ensemble à limiter l'accès des employés aux ressources de leur organisationGoogle Cloud .

Pour limiter l'accès à votre organisation uniquement, procédez comme suit :

  1. En tant qu'administrateur Google Cloud , pour obtenir l'ID d'organisation Google Cloud de l'organisation A, utilisez la commande gcloud organizations list :

        gcloud organizations list

    Voici un exemple de résultat :

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant :

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

    Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier : 

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A :

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Restreindre l'accès à votre organisation et autoriser les requêtes de lecture sur les ressources Cloud Storage

Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation A s'engagent ensemble à limiter l'accès des employés aux seules ressources de leur organisationGoogle Cloud , à l'exception des requêtes de lecture des ressources Cloud Storage. Les administrateurs peuvent vouloir omettre les requêtes de lecture des ressources Cloud Storage de l'application des restrictions sur les organisations pour s'assurer que leurs employés peuvent accéder aux sites Web externes qui utilisent Cloud Storage pour héberger du contenu statique. L'administrateur utilise l'option cloudStorageReadAllowed pour autoriser les requêtes de lecture sur les ressources Cloud Storage.

Pour limiter l'accès à votre organisation uniquement et autoriser les requêtes de lecture sur les ressources Cloud Storage, procédez comme suit :

  1. En tant qu'administrateur Google Cloud , pour obtenir l'ID d'organisation Google Cloud de l'organisation A, utilisez la commande gcloud organizations list :

        gcloud organizations list

    Voici un exemple de résultat :

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant :

     {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }

  3. En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

    Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

  4. En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A :

     X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

    Les employés de l'organisation A ont désormais accès à leur organisation Google Cloud et un accès en lecture aux ressources Cloud Storage.

Autoriser les employés à accéder à l'organisation Google Cloud d'un fournisseur

Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation B collaborent pour permettre aux employés d'accéder à l'organisation Google Cloud d'un fournisseur en plus de leur organisation Google Cloud existante.

Pour limiter l'accès des employés à votre organisation et à celle du fournisseur, procédez comme suit :

  1. En tant qu'administrateur Google Cloud , contactez le fournisseur pour obtenir l'ID d'organisation Google Cloudde l'organisation du fournisseur.

  2. En tant qu'administrateur de proxy de sortie, pour inclure l'ID d'organisation du fournisseur en plus de l'ID d'organisation existant, vous devez mettre à jour la représentation JSON de la valeur d'en-tête. Une fois que vous avez obtenu l'ID d'organisation du fournisseur auprès de l'administrateur Google Cloud, mettez à jour la valeur de l'en-tête au format suivant :

     {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }

  3. En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

    Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

  4. En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation B :

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

    Les employés de l'organisation B ont désormais accès à l'organisation du fournisseur et à leur organisation Google Cloud .

Restreindre l'accès uniquement pour les importations

Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation C s'engagent ensemble à limiter l'accès des employés aux seules ressources de l'organisationGoogle Cloud .

Pour limiter l'accès à l'importation à votre organisation, procédez comme suit :

  1. En tant qu'administrateur Google Cloud , pour obtenir l'ID d'organisation Google Cloud de l'organisation C, utilisez la commande gcloud organizations list :

        gcloud organizations list

    Voici un exemple de résultat :

        DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. En tant qu'administrateur du proxy de sortie, après avoir obtenu l'ID d'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant :

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. En tant qu'administrateur du proxy de sortie, encodez la valeur de l'en-tête de requête en suivant les spécifications de la section 5 de la RFC 4648.

    Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, exécutez la commande basenc suivante pour encoder le fichier :

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant ne soit inséré que pour les requêtes avec les méthodes PUT, POST et PATCH provenant des appareils gérés de l'organisation C :

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Étapes suivantes