如果您是新客户，系统会在以下情况下 Google Cloud 自动为您的网域预配组织资源：
- 您网域中的用户首次登录。
- 用户创建了没有关联组织资源的结算账号。
此组织资源的默认配置（以不受限制的访问权限为特征）可能会使基础架构容易受到安全漏洞的攻击。例如，默认服务账号密钥创建功能是一项严重漏洞，可能会导致系统遭到入侵。
Google Cloud 安全基准通过一组组织政策来解决不安全的组织安全状况，这些政策会在创建组织资源时强制执行。如需了解详情，请参阅获取组织资源。 此类组织政策的示例包括停用服务账号密钥创建功能和停用服务账号密钥上传功能。
当现有用户创建组织时，新组织资源的安全态势可能与现有组织资源不同。对于 2024 年 5 月 3 日或之后创建的所有组织，系统会强制执行 Google Cloud 安全基准限制条件。在 2024 年 2 月至 2024 年 4 月期间创建的某些组织可能也设置了这些默认政策强制执行。如需查看应用于您组织的组织政策，请参阅查看组织政策。
准备工作
如需详细了解组织政策和限制条件及其工作原理，请参阅组织政策服务简介。
所需的角色
如需获得管理组织政策所需的权限，请让您的管理员为您授予组织的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
此预定义角色可提供管理组织政策所需的权限。如需查看所需的确切权限，请展开所需权限部分：
所需权限
管理组织政策需要以下权限：
-
orgpolicy.constraints.list -
orgpolicy.policies.create -
orgpolicy.policies.delete -
orgpolicy.policies.list -
orgpolicy.policies.update -
orgpolicy.policy.get -
orgpolicy.policy.set
您可以通过向组织政策管理员角色绑定添加 IAM 条件来委托组织政策的管理权限。如需控制主账号可以管理组织政策的资源，您可以使角色绑定以特定标记为条件。如需了解详情，请参阅使用限制条件。
在组织资源上强制执行的组织政策
下表列出了在创建组织资源时自动强制执行的组织政策限制条件。
| 组织政策名称 | 组织政策限制条件 | 说明 | 强制执行的影响 |
|---|---|---|---|
| 停用服务账号密钥创建功能 | constraints/iam.managed.disableServiceAccountKeyCreation |
防止用户为服务账号创建永久密钥。如需了解如何管理服务账号密钥，请参阅提供创建服务账号的替代方案。 | 降低服务账号凭证泄露的风险。 |
| 停用服务账号密钥上传功能 | constraints/iam.managed.disableServiceAccountKeyUpload |
阻止将外部公钥上传到服务账号。如需了解如何在不使用服务账号密钥的情况下访问资源，请参阅这些最佳实践。 | 降低服务账号凭证泄露的风险。 |
| 防止将 Editor 角色授予默认服务账号 | constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
防止默认服务账号在创建时获得权限过高的 IAM Editor 角色。 | 借助 Editor 角色，服务账号可以创建和删除大多数 Google Cloud 服务的资源，如果服务账号遭到入侵，就会产生安全漏洞。 |
| 按网域限制身份 | constraints/iam.allowedPolicyMemberDomains |
将资源共享限制为属于特定组织资源或 Google Workspace 客户 ID 的身份。 | 如果组织资源可供客户自有网域以外的网域的参与者访问，则会产生安全漏洞。 |
| 按网域限制联系人 | constraints/essentialcontacts.managed.allowedContactDomains |
限制“重要联系人”名单，从而仅允许所选网域中受管理的用户身份接收平台通知。 | 如果添加了其他网域的恶意行为者作为重要联系人，可能会导致安全状况受到威胁。 |
| 根据 IP 地址类型限制协议转发 | constraints/compute.managed.restrictProtocolForwardingCreationForTypes |
将协议转发的配置限制为仅适用于内部 IP 地址。 | 保护目标实例免受外部流量的影响。 |
| 统一存储桶级访问权限 | constraints/storage.uniformBucketLevelAccess |
防止 Cloud Storage 存储分区使用按对象 ACL（与允许和拒绝政策分开的系统）来提供访问权限。 | 强制执行访问管理和审核的一致性。 |
管理组织政策的强制执行
您可以通过以下方式管理组织政策的强制执行：
列出组织政策
如需检查组织是否强制执行 Google Cloud 安全基准限制，请使用以下命令：
gcloud resource-manager org-policies list --organization=ORGANIZATION_ID
将 ORGANIZATION_ID 替换为您的组织的唯一标识符。
停用组织政策
如需停用或删除组织政策，请运行以下命令：
gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID
替换以下内容：
CONSTRAINT_NAME：要删除的组织政策限制的名称，例如iam.allowedPolicyMemberDomainsORGANIZATION_ID：您组织的唯一标识符
后续步骤
如需详细了解如何创建和管理组织政策，请参阅使用限制条件。