本页面介绍了如何使用组织政策服务自定义限制条件来限制对以下 Google Cloud 资源执行的特定操作：
workflows.googleapis.com/Workflow
如需详细了解组织政策，请参阅自定义组织政策。
组织政策和限制条件简介
借助 Google Cloud 组织政策服务，您可以对组织的资源进行程序化集中控制。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。
组织政策为各种 Google Cloud 服务提供内置的托管式限制。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。
政策继承
如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策， Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。
准备工作
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
Verify that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
如果您使用的是外部身份提供方 (IdP)，则必须先使用联合身份登录 gcloud CLI。
-
如需初始化 gcloud CLI，请运行以下命令：
gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
Verify that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
如果您使用的是外部身份提供方 (IdP)，则必须先使用联合身份登录 gcloud CLI。
-
如需初始化 gcloud CLI，请运行以下命令：
gcloud init - 请确保您知道您的组织 ID。
- 在 Google Cloud 控制台中，转到组织政策页面。
- 在项目选择器中，选择要为其设置组织政策的项目。
- 点击 自定义限制条件。
- 在显示名称框中，为限制条件输入一个人类可读名称。此名称用于错误消息，也可用于标识和调试。请勿在显示名称中使用个人身份信息或敏感数据，因为此名称可能会在错误消息中公开。此字段最多可包含 200 个字符。
-
在限制条件 ID 框中，为新的自定义限制条件输入所需的名称。自定义限制条件只能包含字母（包括大写和小写）或数字，例如
custom.disableGkeAutoUpgrade。此字段最多可包含 70 个字符，不计算前缀 (custom.)，例如organizations/123456789/customConstraints/custom。请勿在您的限制条件 ID 中包含个人身份信息或敏感数据，因为这类内容可能会在错误消息中公开。 - 在说明框中，输入人类可读的限制条件说明。此说明在违反政策时会用作错误消息。详细说明违规原因以及如何解决违规问题。请勿在说明中包含个人身份信息或敏感数据，因为这类内容可能会在错误消息中公开。 此字段最多可包含 2,000 个字符。
-
在资源类型框中，选择包含要限制的对象和字段的 Google Cloud REST 资源的名称，例如
container.googleapis.com/NodePool。大多数资源类型最多支持 20 个自定义限制条件。如果您尝试创建更多自定义限制条件，则相应操作会失败。 - 在强制执行方法下，选择是对 REST CREATE 方法强制执行限制条件，还是同时对 CREATE 和 UPDATE 方法强制执行限制条件。如果您使用 UPDATE 方法对违反限制条件的资源强制执行限制条件，则组织政策会阻止对该资源所做的更改，除非该更改解决了违规问题。
- 如需定义条件，请点击 修改条件。
-
在添加条件面板中，创建一个引用受支持的服务资源的 CEL 条件，例如
resource.management.autoUpgrade == false。此字段最多可包含 1,000 个字符。如需详细了解 CEL 用法，请参阅通用表达式语言。 如需详细了解可在自定义限制条件中使用的服务资源，请参阅自定义限制条件支持的服务。 - 点击保存。
- 在操作下，选择在满足条件时是允许还是拒绝评估的方法。
- 点击创建限制条件。
- 如需创建自定义限制条件，请使用以下格式创建 YAML 文件：
ORGANIZATION_ID：您的组织 ID，例如123456789。-
CONSTRAINT_NAME：新的自定义限制条件的名称。自定义限制条件只能包含字母（包括大写和小写）或数字，例如custom.workflowsDescriptionOrgPolicy。此字段最多可包含 70 个字符。 -
RESOURCE_NAME：包含要限制的对象和字段的 Google Cloud资源的完全限定名称。例如workflows.googleapis.com/Workflow。 -
CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段最多可包含 1,000 个字符。例如"resource.description.contains('Allow')"。 -
ACTION：满足condition时要执行的操作。 可能的值包括ALLOW和DENY。 -
DISPLAY_NAME：限制条件的直观易记名称。此字段最多可包含 200 个字符。 -
DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。此字段最多可包含 2,000 个字符。 -
为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用
gcloud org-policies set-custom-constraint命令： - 如需验证自定义限制条件是否存在，请使用
gcloud org-policies list-custom-constraints命令： - 在 Google Cloud 控制台中，前往组织政策页面。
- 在项目选择器中，选择要为其设置组织政策的项目。
- 从组织政策页面上的列表中选择您的限制条件，以查看该限制条件的政策详情页面。
- 如需为该资源配置组织政策，请点击管理政策。
- 在修改政策页面，选择覆盖父级政策。
- 点击添加规则。
- 在强制执行部分中，选择是否强制执行此组织政策。
- （可选）如需使组织政策成为基于某个标记的条件性政策，请点击添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。如需了解详情，请参阅设置带有标记的组织政策。
- 点击测试更改以模拟组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
- 如需在试运行模式下强制执行组织政策，请点击设置试运行政策。如需了解详情，请参阅在试运行模式下创建组织政策。
- 验证试运行模式下的组织政策是否按预期运行后，点击设置政策来设置现行政策。
- 如需创建包含布尔值规则的组织政策，请创建引用该限制条件的 YAML 政策文件：
-
PROJECT_ID：要对其强制执行您的限制条件的项目。 -
CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.workflowsDescriptionOrgPolicy。 -
如需在试运行模式下强制执行组织政策，请运行以下带有
dryRunSpec标志的命令： -
验证试运行模式下的组织政策按预期运行后，使用
org-policies set-policy命令和spec标志设置现行政策：
所需的角色
如需获得管理自定义组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。
如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
设置自定义限制条件
自定义限制条件是在 YAML 文件中，由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。
控制台
如需创建自定义限制条件，请执行以下操作：
并非所有 Google Cloud 服务都支持这两种方法。如需查看每种服务支持的方法，请在支持的服务中找到相应服务。
拒绝操作意味着，如果条件计算结果为 true，则创建或更新资源的操作会被阻止。
允许操作意味着，仅当条件计算结果为 true 时，才允许执行创建或更新资源的操作。除了条件中明确列出的情况之外，其他所有情况都会被阻止。
在每个字段中输入值后，右侧将显示此自定义限制条件的等效 YAML 配置。
gcloud
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME resourceTypes: - RESOURCE_NAME methodTypes: - CREATE
- UPDATE condition: "CONDITION" actionType: ACTION displayName: DISPLAY_NAME description: DESCRIPTION
请替换以下内容：
如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。
允许操作意味着，如果条件计算结果为 true，则允许执行创建或更新资源的操作。这也意味着，除了条件中明确列出的情况之外，其他所有情况都会被阻止。
拒绝操作意味着，如果条件计算结果为 true，则创建或更新资源的操作会被阻止。
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。
此操作完成后，您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
将 ORGANIZATION_ID 替换为您的组织资源的 ID。
如需了解详情，请参阅查看组织政策。
强制执行自定义组织政策
如需强制执行限制条件，您可以创建引用该限制条件的组织政策，并将该组织政策应用于 Google Cloud 资源。控制台
gcloud
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true dryRunSpec: rules: - enforce: true
请替换以下内容：
gcloud org-policies set-policy POLICY_PATH \ --update-mask=dryRunSpec
将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。
gcloud org-policies set-policy POLICY_PATH \ --update-mask=spec
将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。
常见用例的自定义组织政策示例
下表提供了一些常见自定义限制条件的语法示例。
| 说明 | 限制条件语法 |
|---|---|
| 需要提供具体说明 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.workflowsDescriptionOrgPolicy resourceTypes: - workflows.googleapis.com/Workflow methodTypes: - CREATE condition: "resource.description.contains('Allow')" actionType: ALLOW displayName: Enforce a specific workflow description description: All workflows must be created with a specific description. |
| 需要 CMEK 密钥 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.workflowsCMEKOrgPolicy resourceTypes: - workflows.googleapis.com/Workflow methodTypes: - CREATE condition: "resource.cryptoKeyName.contains('projects/my-project/')" actionType: ALLOW displayName: Enforce the use of a CMEK key from my-project description: All workflows must be created with a CMEK key from my-project. |
Workflows 支持的资源
下表列出了您可以在自定义限制条件中引用的 Workflows 资源。| 资源 | 字段 |
|---|---|
| workflows.googleapis.com/Workflow |
resource.callLogLevel
|
resource.cryptoKeyName
| |
resource.description
| |
resource.executionHistoryLevel
| |
resource.name
| |
resource.serviceAccount
| |
resource.sourceContents
| |
resource.tags
| |
resource.userEnvVars
|