限制端點用量

本頁面概要說明「Restrict Endpoint Usage」組織政策限制，讓企業管理員控管可在 Google Cloud 資源階層中使用的 Google Cloud API 端點。

管理員可以使用這項限制，針對允許的 Google Cloud API 端點定義階層限制，例如全域、位置或區域端點。舉例來說，您可以設定專案拒絕對全球 bigquery.googleapis.com 端點的請求，但允許對位置 LOCATION-biguery.googleapis.com 端點的請求。透過限制全域 API 端點的使用方式，機構組織就能確保只使用允許的區域或地區端點，以符合法規遵循要求。

使用拒絕清單設定「限制端點用量」限制，允許對任何支援服務的 API 端點提出要求，但不允許對明確拒絕的端點提出要求。

這項限制會控管對所有範圍內資源的執行階段存取權。當包含這項限制的機構政策更新後，就會立即套用至政策範圍內的所有資源，並最終達到一致性。

建議管理員謹慎管理包含此限制的機構政策更新。舉例來說，您可以考慮在模擬模式下設定政策，以便在政策生效前，監控政策異動對現有工作流程的影響。

API 端點類型

API 端點 (或服務端點) 是指定 Google Cloud API 服務 (例如 bigquery.googleapis.com) 網路位址的網址。Google Cloud 服務可透過不同類型的 API 端點存取資源，包括全域、位置和區域端點。每種類型的支援情況取決於服務。

• 全域 API 端點不會在網址主機名稱中指定位置。例如：

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  這些全球範圍的端點可提供高可用性的服務端點，將 TLS 工作階段終止的時間盡可能縮短，以便在透過網際網路服務分散的用戶端群組時，盡可能減少延遲時間。

• 位置 API 端點會在網址主機名稱中指定位置。例如：

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  這些位置端點可為需要使用特定位置服務的客戶提供優勢，並確保在透過私人連線存取時，傳輸中的資料會保留在特定位置。

• 地區 API 端點會將位置指定為子網域。例如：

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  這些區域端點最適合需要使用特定位置服務的客戶，以及希望透過私人連線或公用網際網路存取時，確保傳輸中資料仍保留在特定位置的客戶。

限制

「端點用量限制」限制可使用特定 API 端點存取資源的功能。請勿將其與其他類似限制混淆，例如：

• 限制資源位置限制：控制可建立或無法建立資源的位置。
• 限制資源服務使用限制，可控管可使用的資源服務。

為了避免破壞現有的服務基礎架構，您應該先以非實際工作環境的專案和資料夾測試任何新的機構政策，然後才在機構內逐步套用政策。

此限制適用於部分特定的產品和資源類型。如需支援服務清單和各項服務行為的詳細資訊，請參閱「支援的 API 端點」一節。

如需資料儲存承諾的相關資訊，請參閱 Google Cloud 服務條款和服務專屬條款。包含「端點用量限制」限制的機構政策並非資料居住地承諾。

設定機構政策

如要設定、更改或刪除機構政策，您必須具有機構政策管理員角色。

您可以在機構、資料夾和專案層級設定機構政策限制。每項政策都會套用至對應資源階層中的所有資源，但可在資源階層的較低層級覆寫。

如要進一步瞭解政策評估，請參閱「瞭解階層評估」。

端點用量限制是一種清單限制。您可以從約束的 denied_values 清單中新增或移除端點。

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

如果要求遭拒的 API 端點嘗試存取資源，要求就會失敗，並傳回錯誤訊息，說明失敗原因。

在模擬測試模式下建立機構政策

模擬測試模式中的機構政策是一種機構政策，會記錄違反政策的稽核記錄，但不會拒絕違規動作。您可以在模擬模式下使用「端點用量限制」限制建立機構政策，在強制執行實際政策前，監控這項政策對貴機構的影響。詳情請參閱「在模擬模式中建立機構政策」。

錯誤訊息

如果您設定機構政策拒絕某個端點，在資源階層中使用該端點的作業就會失敗。系統會傳回錯誤，說明此失敗原因。此外，系統也會產生稽核記錄項目，以便進一步監控、發出快訊或偵錯。

錯誤訊息示例

在以下範例中，使用 API 端點 storage.googleapis.com 的 curl 要求因政策強制執行而失敗：

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.endpointUsageRestriction organization policy constraint. To
access this resource, please use an allowed endpoint.

稽核記錄項目範例

以下稽核記錄項目範例說明資源存取權遭拒的情況：

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "[email protected]"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

支援的 API 端點

以下 API 端點支援「Restrict Endpoint Usage」限制：

值組搭配

值組搭配是由 Google 收錄的群組和 API 端點集合，提供簡易定義端點限制的方法。值組搭配包含許多相關的 API 端點，並且會隨著時間的演進而不斷擴展，所以無需更改您的機構政策來配合新端點。

如要在機構政策中使用值組，請先輸入 in: 字串，如要進一步瞭解如何使用值前置字串，請參閱「使用限制」一文。在設定機構政策的呼叫中會驗證群組名稱。使用無效的群組名稱會導致政策設定失敗。

下表包含目前可用群組的清單：