Menggunakan batasan

Panduan ini menjelaskan cara membuat kebijakan organisasi dengan batasan tertentu. Batasan yang digunakan dalam contoh di halaman ini bukan batasan sebenarnya, tetapi contoh umum untuk tujuan pendidikan.

Untuk mengetahui informasi selengkapnya tentang batasan dan masalah yang diselesaikannya, tinjau daftar semua batasan Layanan Kebijakan Organisasi.

Sebelum memulai

• Baca halaman Pengantar Layanan Kebijakan Organisasi untuk mempelajari cara kerja kebijakan organisasi.

• Baca halaman Memahami evaluasi hierarki untuk mempelajari pewarisan kebijakan.

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan untuk mengelola kebijakan organisasi, minta administrator Anda untuk memberi Anda peran IAM Administrator kebijakan organisasi (roles/orgpolicy.policyAdmin) di organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Mendelegasikan administrasi kebijakan organisasi

Untuk mendelegasikan administrasi kebijakan organisasi kepada akun utama lain, tambahkan kondisi ke binding peran:

"bindings": [
  {
    "role": "roles/orgpolicy.policyAdmin",
    "members": [
      "PRINCIPAL_1",
      "PRINCIPAL_2"
    ],
    "condition": {
      "title": "TITLE",
      "description": "DESCRIPTION",
      "expression": "resource.matchTag('TAG_KEY', 'TAG_VALUE')"
    }
  }
]

Ganti kode berikut:

• PRINCIPAL_1,PRINCIPAL_2: daftar akun utama yang ingin Anda delegasikan peran administrator kebijakan Organisasi.

• TITLE: judul ekspresi bersyarat Anda&emdash;misalnya, "Administrator kebijakan organisasi untuk lingkungan pengembangan".

• DESCRIPTION: deskripsi opsional untuk ekspresi Anda.

• TAG_KEY: Nama dengan namespace dari kunci tag&emdash;misalnya, 123456789012/environment.

• TAG_VALUE: Nama nilai tag. Peran hanya diberikan pada resource yang melampirkan tag ini&emdash;misalnya, development.

Untuk mengetahui informasi selengkapnya tentang penggunaan kondisi dalam kebijakan izin, lihat Ringkasan IAM Conditions.

Menggunakan aturan daftar dalam kebijakan organisasi

Anda dapat menetapkan kebijakan organisasi pada resource organisasi yang menggunakan aturan daftar untuk menolak akses ke layanan tertentu. Proses berikut menjelaskan cara menetapkan kebijakan organisasi menggunakan Google Cloud CLI. Untuk mengetahui petunjuk tentang cara melihat dan menetapkan kebijakan organisasi menggunakan konsol Google Cloud , lihat Membuat dan Mengelola Kebijakan.

Kebijakan organisasi yang menggunakan aturan daftar tidak boleh memiliki lebih dari 500 nilai yang diizinkan atau ditolak, dan tidak boleh lebih dari 32 KB. Jika kebijakan organisasi dibuat atau diperbarui hingga memiliki lebih dari 500 nilai, atau berukuran lebih dari 32 KB, kebijakan tersebut tidak dapat disimpan dengan berhasil, dan permintaan akan menampilkan error.

Menyiapkan penerapan pada resource organisasi

Untuk menyiapkan penerapan pada organisasi menggunakan gcloud CLI, ikuti langkah-langkah berikut:

1. Dapatkan kebijakan yang berlaku pada resource organisasi menggunakan perintah describe Perintah ini menampilkan kebijakan yang langsung diterapkan ke resource ini:

   gcloud org-policies describe \
     CONSTRAINT_NAME --organization=ORGANIZATION_ID
   

   Ganti kode berikut:

   • ORGANIZATION_ID: ID unik untuk resource organisasi. ID Organisasi diformat sebagai angka desimal, dan tidak boleh memiliki angka nol di depannya.

   • CONSTRAINT_NAME: batasan untuk layanan yang ingin Anda terapkan. Misalnya, batasan gcp.restrictNonCmekServices membatasi layanan mana yang dapat membuat resource tanpa kunci enkripsi yang dikelola pelanggan (CMEK).

   Anda juga dapat menerapkan kebijakan organisasi ke folder atau project dengan flag --folder atau --project, serta ID folder dan project ID.

   Respons menampilkan kebijakan organisasi saat ini, jika ada. Contoh:

   name: projects/841166443394/policies/gcp.resourceLocations
   spec:
     etag: BwW5P5cEOGs=
     inheritFromParent: true
     rules:
     - condition:
         expression: resource.matchTagId("tagKeys/1111", "tagValues/2222")
       values:
         allowedValues:
         - in:us-east1-locations
     - condition:
         expression: resource.matchTag("123/env", "prod")
       values:
         allowedValues:
         - in:us-west1-locations
     - values:
         deniedValues:
         - in:asia-south1-locations
     updateTime: '2021-01-19T12:00:51.095Z'
   

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

2. Tetapkan kebijakan di organisasi menggunakan perintah set-policy. Tindakan ini akan menimpa kebijakan apa pun yang dilampirkan ke resource.

   1. Membuat file sementara /tmp/policy.yaml untuk menyimpan kebijakan:

      name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - values:
            deniedValues:
            - VALUE_A
      

   2. Jalankan perintah set-policy:

      gcloud org-policies set-policy /tmp/policy.yaml
      

3. Lihat kebijakan yang berlaku saat ini menggunakan describe --effective. Perintah ini akan menampilkan kebijakan organisasi seperti yang dievaluasi pada tahap ini dalam hierarki resource dengan pewarisan yang disertakan.

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --organization=ORGANIZATION_ID
   

   Output perintahnya adalah:

   name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
   spec:
     etag: BwVJi0OOESU=
     rules:
     - values:
         deniedValues:
         - VALUE_A
   

   Karena kebijakan organisasi ini ditetapkan di tingkat organisasi, kebijakan ini akan diwarisi oleh semua resource turunan yang mengizinkan pewarisan.

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menyiapkan penegakan terhadap subpohon hierarki

Batasan dengan aturan daftar mengambil nilai yang ditentukan secara eksplisit untuk menentukan resource mana yang harus diizinkan atau ditolak. Beberapa batasan juga dapat menerima nilai yang menggunakan awalan under:, yang menentukan subpohon dengan resource tersebut sebagai root. Menggunakan awalan under: pada nilai yang diizinkan atau ditolak akan menyebabkan kebijakan organisasi bertindak pada resource tersebut dan semua turunannya. Untuk mengetahui informasi tentang batasan yang memungkinkan penggunaan awalan under:, lihat halaman Batasan kebijakan organisasi.

Nilai yang menggunakan awalan under: disebut string subpohon hierarki. String subpohon hierarki menentukan jenis resource yang berlaku. Misalnya, menggunakan string subpohon projects/PROJECT_ID saat menetapkan batasan constraints/compute.storageResourceUseRestrictions akan mengizinkan atau menolak penggunaan penyimpanan Compute Engine untuk PROJECT_ID dan semua turunannya.

1. Dapatkan kebijakan yang berlaku pada resource organisasi menggunakan perintah describe

   gcloud org-policies describe \
     CONSTRAINT_NAME \
     --organization=ORGANIZATION_ID
   

   Ganti kode berikut:

   • ORGANIZATION_ID adalah ID unik untuk resource organisasi.

   • CONSTRAINT_NAME adalah batasan untuk layanan yang ingin Anda terapkan.

   Anda juga dapat menerapkan kebijakan organisasi ke folder atau project dengan flag --folder atau --project, serta ID folder dan ID project.

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

2. Tetapkan kebijakan di project menggunakan perintah set-policy. Awalan under: menetapkan batasan untuk menolak resource bernama dan semua resource turunannya.

   1. Membuat file sementara /tmp/policy.yaml untuk menyimpan kebijakan:

      name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - values:
            deniedValues:
            - under:folders/VALUE_A
      

   2. Jalankan perintah set-policy:

      gcloud org-policies set-policy /tmp/policy.yaml
      

   Dengan:

   • under: adalah awalan yang menandakan bahwa yang mengikuti adalah string subpohon.

   • folders/VALUE_A adalah ID folder dari resource root yang ingin Anda tolak. Resource ini dan semua turunannya dalam hierarki resource akan ditolak.

   Anda juga dapat menerapkan awalan under: ke organisasi dan project, seperti pada contoh berikut:

   • under:organizations/VALUE_X

   • under:projects/VALUE_Y

3. Lihat kebijakan yang berlaku saat ini menggunakan describe --effective.

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --organization=ORGANIZATION_ID
   

   Output perintahnya adalah:

   name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - values:
         deniedValues:
         - under:folders/VALUE_A
   

   Kebijakan kini mengevaluasi untuk menolak folder VALUE_A dan semua resource turunannya.

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menggabungkan kebijakan organisasi pada project

Anda dapat menetapkan kebijakan organisasi pada resource, yang akan digabungkan dengan kebijakan apa pun yang diwarisi dari resource induknya. Kebijakan gabungan ini kemudian akan dievaluasi untuk membuat kebijakan efektif baru berdasarkan aturan pewarisan.

1. Dapatkan kebijakan saat ini pada resource menggunakan perintah describe:

   gcloud org-policies describe \
     CONSTRAINT_NAME \
     --project=PROJECT_ID
   

   Ganti kode berikut:

   • PROJECT_ID: ID unik project Anda.

   • CONSTRAINT_NAME: batasan untuk layanan yang ingin Anda terapkan.

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

2. Tampilkan kebijakan yang berlaku saat ini menggunakan perintah describe --effective command:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintah akan menyertakan nilai yang ditolak yang diwarisi dari resource organisasi:

   name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - values:
         deniedValues:
         - VALUE_A
   

3. Tetapkan kebijakan di project menggunakan perintah set-policy.

   1. Membuat file sementara /tmp/policy.yaml untuk menyimpan kebijakan:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        inheritFromParent: true
        rules:
        - values:
            deniedValues:
            - VALUE_B
            - VALUE_C
      

   2. Jalankan perintah set-policy:

      gcloud org-policies set-policy /tmp/policy.yaml
      

4. Gunakan perintah describe --effective lagi untuk menampilkan kebijakan yang diperbarui:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintah akan menyertakan hasil efektif penggabungan kebijakan dari resource dan dari induk:

   name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - values:
         deniedValues:
           - VALUE_A
           - VALUE_B
           - VALUE_C
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Memulihkan perilaku batasan default

Anda dapat menggunakan perintah reset untuk mereset kebijakan agar menggunakan perilaku default batasan. Untuk mengetahui daftar semua batasan yang tersedia dan nilai defaultnya, lihat Batasan kebijakan organisasi.Contoh berikut mengasumsikan bahwa perilaku batasan default adalah mengizinkan semua nilai.

1. Dapatkan kebijakan yang berlaku pada project untuk menampilkan kebijakan gabungan saat ini:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Ganti PROJECT_ID dengan ID unik project Anda. Output perintahnya adalah:

   name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - values:
         deniedValues:
         - VALUE_A
         - VALUE_B
         - VALUE_C
   

2. Reset kebijakan organisasi menggunakan perintah reset.

   gcloud org-policies reset CONSTRAINT_NAME \
       --project=PROJECT_ID
   

3. Dapatkan kebijakan yang berlaku untuk memverifikasi perilaku default:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintah akan mengizinkan semua nilai:

   name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - allowAll: true
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menghapus kebijakan organisasi

Anda dapat menghapus kebijakan organisasi dari resource. Resource tanpa setelan kebijakan organisasi akan mewarisi kebijakan resource induknya. Jika Anda menghapus kebijakan organisasi di resource organisasi, kebijakan efektif akan menjadi perilaku default batasan.

Langkah-langkah berikut menjelaskan cara menghapus kebijakan organisasi di organisasi.

1. Hapus kebijakan di resource organisasi menggunakan perintah delete

   gcloud org-policies delete \
     CONSTRAINT_NAME \
     --organization=ORGANIZATION_ID
   

   Ganti ORGANIZATION_ID dengan ID unik untuk resource organisasi. Output perintah akan menjadi:

   Deleted policy
   [organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME].
   {}
   

2. Dapatkan kebijakan yang berlaku di organisasi untuk memverifikasi bahwa kebijakan tersebut tidak diterapkan:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --organization=ORGANIZATION_ID
   

   Output perintahnya adalah:

   name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - allowAll: true
   

Langkah-langkah berikut menjelaskan cara menghapus kebijakan organisasi di project:

1. Hapus kebijakan di project menggunakan perintah delete:

   gcloud org-policies delete \
     CONSTRAINT_NAME \
     --project=PROJECT_ID
   

   Dengan PROJECT_ID sebagai ID unik project Anda. Output perintahnya adalah:

   Deleted policy
   [projects/PROJECT_ID/policies/CONSTRAINT_NAME].
   {}
   

2. Dapatkan kebijakan yang berlaku di project untuk memverifikasi bahwa kebijakan tersebut tidak diterapkan:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintahnya adalah:

   name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
   spec:
     rules:
     - allowAll: true
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menggunakan aturan boolean dalam kebijakan organisasi

Menyiapkan penerapan pada resource organisasi

Proses berikut menjelaskan cara menetapkan kebijakan organisasi dengan aturan boolean menggunakan Google Cloud CLI. Untuk mengetahui petunjuk cara melihat dan menetapkan kebijakan organisasi menggunakan konsol Google Cloud , lihat Membuat dan Mengelola Kebijakan.

1. Dapatkan kebijakan yang berlaku pada resource organisasi menggunakan perintah describe command:

   gcloud org-policies describe \
     CONSTRAINT_NAME \
     --organization=ORGANIZATION_ID
   

   Ganti ORGANIZATION_ID dengan ID unik untuk resource organisasi. Anda juga dapat menerapkan kebijakan organisasi ke folder atau project dengan flag --folder atau --project, serta ID folder dan project ID.

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

2. Tetapkan kebijakan di project menggunakan perintah set-policy.

   1. Membuat file sementara /tmp/policy.yaml untuk menyimpan kebijakan:

      name: organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
      

   2. Jalankan perintah set-policy:

      gcloud org-policies set-policy /tmp/policy.yaml
      

3. Lihat kebijakan yang berlaku saat ini menggunakan describe --effective:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --organization=ORGANIZATION_ID
   

   Output perintahnya adalah:

   name: organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT
   spec:
     rules:
     - enforce: true
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Mengganti kebijakan organisasi untuk project

Untuk mengganti kebijakan organisasi untuk sebuah project, tetapkan kebijakan yang menonaktifkan penerapan batasan ke semua resource dalam hierarki di bawah project.

1. Dapatkan kebijakan saat ini pada resource untuk menunjukkan bahwa kebijakan tersebut kosong.

   gcloud org-policies describe \
     CONSTRAINT_NAME \
     --project=PROJECT_ID
   

   Dengan PROJECT_ID sebagai ID unik project Anda.

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

2. Dapatkan kebijakan efektif pada project, yang mengonfirmasi bahwa batasan diterapkan di project ini.

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintahnya adalah:

   name: projects/PROJECT_ID/policies/BOOLEAN_CONSTRAINT
   spec:
     rules:
     - enforce: true
   

3. Tetapkan kebijakan di project menggunakan perintah set-policy.

   1. Membuat file sementara /tmp/policy.yaml untuk menyimpan kebijakan:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: false
      

   2. Jalankan perintah set-policy:

      gcloud org-policies set-policy /tmp/policy.yaml
      

4. Dapatkan kebijakan yang berlaku untuk menunjukkan bahwa kebijakan tersebut tidak lagi diterapkan pada project.

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Output perintahnya adalah:

   name: organizations/ORGANIZATION_ID/policies/BOOLEAN_CONSTRAINT
   spec:
     rules:
     - enforce: false
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menghapus kebijakan organisasi

Anda dapat menghapus kebijakan organisasi dari resource. Resource tanpa setelan kebijakan organisasi akan mewarisi kebijakan resource induknya. Jika Anda menghapus kebijakan organisasi di resource organisasi, kebijakan efektif akan menjadi perilaku default batasan.

Langkah-langkah berikut menjelaskan cara menghapus kebijakan organisasi di organisasi dan project.

1. Hapus kebijakan dari resource organisasi menggunakan perintah delete:

   gcloud org-policies delete \
     CONSTRAINT_NAME \
     --organization=ORGANIZATION_ID
   

   Ganti ORGANIZATION_ID dengan ID unik untuk resource organisasi. Output perintah akan menjadi:

   Deleted policy
   [organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME].
   {}
   

2. Dapatkan kebijakan yang berlaku di organisasi untuk memverifikasi bahwa kebijakan tersebut tidak diterapkan:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --organization=ORGANIZATION_ID
   

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

3. Hapus kebijakan organisasi dari project menggunakan perintah delete:

   gcloud org-policies delete \
     CONSTRAINT_NAME \
     --project=PROJECT_ID
   

   Output perintahnya adalah:

   Deleted policy
   [organizations/ORGANIZATION_ID/policies/CONSTRAINT_NAME].
   {}
   

4. Dapatkan kebijakan yang berlaku di project untuk memverifikasi bahwa kebijakan tersebut tidak diterapkan:

   gcloud org-policies describe \
     CONSTRAINT_NAME --effective \
     --project=PROJECT_ID
   

   Ganti PROJECT_ID dengan ID unik project Anda.

   Jika kebijakan tidak disetel, error NOT_FOUND akan ditampilkan:

   ERROR: (gcloud.org-policies.describe) NOT_FOUND: Requested entity was not found.
   

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.

Menggunakan batasan terkelola dalam kebijakan organisasi

Batasan terkelola dibangun di platform kebijakan organisasi kustom. Mereka dapat menggunakan Policy Simulator untuk Layanan Kebijakan Organisasi dan kebijakan organisasi uji coba untuk men-deploy perubahan kebijakan dengan lebih aman.

Melihat dan mengidentifikasi batasan terkelola

Untuk melihat batasan terkelola yang tersedia untuk organisasi Anda, lakukan hal berikut:

gcloud org-policies list-custom-constraints \
  --organization=ORGANIZATION_ID

gcloud org-policies describe-custom-constraint CONSTRAINT_NAME \
    --organization=ORGANIZATION_ID

  GET https://orgpolicy.googleapis.com/v2/{parent=organizations/ORGANIZATION_ID}/customConstraints

Membuat dan memperbarui batasan terkelola

Kebijakan organisasi ditentukan oleh konfigurasi batasan. Kebijakan ini dapat ditetapkan pada resource, diwarisi dari resource induk, atau direset ke perilaku default yang dikelola Google.

Untuk membuat atau memperbarui kebijakan organisasi berdasarkan batasan terkelola, lakukan tindakan berikut:

POST https://orgpolicy.googleapis.com/v2/{parent=organizations/ORGANIZATION_ID}/policies

{
  "name": "RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "enforce": ["ENFORCEMENT_STATE"],
        "parameters": {
          "LIST_PARAMETER": [
            "LIST_VALUE_1",
            "LIST_VALUE_2"
          ],
          BOOLEAN_PARAMETER: BOOLEAN_VALUE
        }
      }
    ]
  }
  "dryRunSpec": {
    "rules": [
      {
        "enforce": ["ENFORCEMENT_STATE"],
        "parameters": {
          "LIST_PARAMETER": [
            "LIST_VALUE_1",
            "LIST_VALUE_2"
          ],
          BOOLEAN_PARAMETER: BOOLEAN_VALUE
        }
      }
    ]
  }
}

Perubahan pada kebijakan organisasi dapat memerlukan waktu hingga 15 menit untuk diterapkan sepenuhnya.