Benutzerdefinierte Organisationsrichtlinien für Zulassungsrichtlinien verwenden

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Einschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Google Cloud Ressourcen einzuschränken:

• iam.googleapis.com/AllowPolicy

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Einschränkungen

Mit dem Google Cloud Organisationsrichtliniendienst können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Einschränkungen, die fürGoogle Cloud -Ressourcen und untergeordnete Elemente dieser Ressourcen in der Google Cloud -Ressourcenhierarchie gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Einschränkungen für verschiedene Google Cloud -Dienste. Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien eingeschränkt werden, können Sie auch benutzerdefinierte Einschränkungen erstellen und diese benutzerdefinierten Einschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, Google Cloud erzwingt die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Evaluierung der Hierarchie.

Vorteile

Sie können benutzerdefinierte Organisationsrichtlinien verwenden, die auf IAM-Attribute verweisen, um zu steuern, wie Ihre „allow“-Richtlinien geändert werden können. Konkret können Sie Folgendes steuern:

• Wem können Rollen zugewiesen werden?
• Wem können Rollen entzogen werden?
• Welche Rollen können zugewiesen werden?
• Welche Rollen können widerrufen werden?

So können Sie beispielsweise verhindern, dass Rollen, die das Wort admin enthalten, Hauptkonten zugewiesen werden, deren E-Mail-Adressen auf @gmail.com enden.

Beschränkungen

• Für benutzerdefinierte Organisationsrichtlinien im Probebetrieb, die auf IAM-Attribute verweisen, gelten einige Einschränkungen. Bei Audit-Logs für Verstöße, bei denen die Methode setIamPolicy verwendet wird, fehlen möglicherweise die folgenden Felder:

  • resourceName
  • serviceName
  • methodName

• Audit-Logs werden nicht für alle benutzerdefinierten Organisationsrichtlinienverstöße im Zusammenhang mit IAM generiert. Wenn eine benutzerdefinierte Organisationsrichtlinie dazu führt, dass ein setIamPolicy-Vorgang für die Organisationsressource fehlschlägt, wird vonGoogle Cloud kein Audit-Log für dieses Ereignis generiert.

• Benutzerdefinierte Organisationsrichtlinien, die auf IAM-Attribute verweisen, haben keine Auswirkungen auf Folgendes:

  • Standardmäßige Berechtigungen durch Cloud Storage-ACLs.
  • Automatische Rollenzuweisungen für Cloud Storage-Convenience-Werte und BigQuery-Standarddatasetzugriff.
  • Rollen, die durch Standardzulassungsrichtlinien gewährt werden, z. B. wenn einem Projektersteller automatisch die Rolle „Inhaber“ (roles/owner) für das Projekt zugewiesen wird.

• Nutzer können Einladungen erhalten, Inhaber zu werden, auch wenn Sie eine benutzerdefinierte Organisationsrichtlinie haben, die die Zuweisung der Inhaberrolle (roles/owner) verhindert. Die benutzerdefinierte Organisationsrichtlinie verhindert zwar nicht, dass eine Einladung gesendet wird, aber sie verhindert, dass eingeladenen Nutzern die Rolle „Inhaber“ zugewiesen wird. Wenn eingeladene Nutzer versuchen, die Einladung anzunehmen, wird ein Fehler angezeigt und sie erhalten nicht die Inhaberrolle.

• Bei einigen Aktionen in Google Cloud, z. B. beim Erstellen von Ressourcen oder Aktivieren von APIs, wird automatisch eine Rolle für einen Dienst-Agent oder ein Standarddienstkonto gewährt. Wenn bei einer Aktion automatisch eine Rolle gewährt wird und eine Organisationsrichtlinie verhindert, dass diese Rolle gewährt wird, kann der gesamte Vorgang fehlschlagen.

  Wenn dieses Problem auftritt, können Sie Tags verwenden, um die Einschränkung, die die Rollenzuweisung verhindert, vorübergehend zu deaktivieren. Führe dann die Aktion aus. Aktivieren Sie die Einschränkung nach Abschluss der Aktion wieder.

Hinweise

• Wenn Sie benutzerdefinierte Organisationsrichtlinien testen möchten, die auf IAM-Ressourcen verweisen, erstellen Sie ein neues Projekt. Das Testen dieser Organisationsrichtlinien in einem bestehenden Projekt kann Sicherheits-Workflows unterbrechen.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation
• Die auf dieser Seite beschriebenen Organisationsrichtlinien testen: Project IAM Admin (roles/resourcemanager.projectIamAdmin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Einschränkung erstellen

Eine benutzerdefinierte Einschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Einschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Einschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Einschränkungen erstellen und verwalten.

Zum Erstellen einer benutzerdefinierten Einschränkung erstellen Sie eine YAML-Datei im folgenden Format:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Einschränkung verwenden möchten. Eine benutzerdefinierte Einschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten. Beispiel: custom.denyProjectIAMAdmin. Die maximale Länge dieses Feldes beträgt 70 Zeichen.

• RESOURCE_NAME: Der vollständig qualifizierte Name derGoogle Cloud -Ressource, die das Objekt und das Feld enthält, das Sie einschränken möchten. Beispiel: iam.googleapis.com/AllowPolicy

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen. Beispiel: resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Mögliche Werte sind ALLOW und DENY.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Einschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Einschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird Dieses Feld hat eine maximale Länge von 2000 Zeichen.

Weitere Informationen zum Erstellen einer benutzerdefinierten Einschränkung finden Sie unter Benutzerdefinierte Einschränkungen definieren.

Benutzerdefinierte Einschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Benutzerdefinierte Organisationsrichtlinie testen

Optional können Sie die Organisationsrichtlinie testen, indem Sie sie festlegen und dann versuchen, eine Aktion auszuführen, die durch die Richtlinie verhindert werden sollte.

Einschränkung erstellen

1. Speichern Sie die folgende Datei als constraint-deny-project-iam-admin.

   name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
   resourceTypes: iam.googleapis.com/AllowPolicy
   methodTypes:
     - CREATE
     - UPDATE
   condition:
     "resource.bindings.exists(
       binding,
       RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
       binding.members.exists(member,
         MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
       )
     )"
   actionType: DENY
   displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.
   

   Ersetzen Sie die folgenden Werte:

   • ORG_ID: die numerische ID IhrerGoogle Cloud -Organisation.
   • MEMBER_EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, mit dem Sie die benutzerdefinierte Einschränkung testen möchten. Solange die Einschränkung aktiv ist, kann diesem Hauptkonto nicht die Rolle „Projekt-IAM-Administrator“ (roles/resourcemanager.projectIamAdmin) für das Projekt zugewiesen werden, für das Sie die Einschränkung erzwingen.

2. Wenden Sie die Einschränkung an:

   gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

Richtlinie erstellen

1. Speichern Sie die folgende Datei als policy-deny-project-iam-admin.yaml:

   name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
   spec:
     rules:
     - enforce: true
   

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

2. Wenden Sie die Richtlinie an:

   gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml
   

3. Prüfen Sie, ob die Richtlinie vorhanden ist:

   gcloud org-policies list --project=PROJECT_ID
   

Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Google Cloud die Richtlinie durchgesetzt hat.

Richtlinie testen

Versuchen Sie, dem Hauptkonto, dessen E-Mail-Adresse Sie in die benutzerdefinierte Einschränkung aufgenommen haben, die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) zuzuweisen. Ersetzen Sie vor dem Ausführen des Befehls folgende Werte:

• PROJECT_ID: Die ID des Google Cloud-Projekts, in dem Sie die Einschränkung erzwungen haben
• EMAIL_ADDRESS: Die E-Mail-Adresse des Hauptkontos, das Sie beim Erstellen der Einschränkung für die Organisationsrichtlinie angegeben haben.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Die Ausgabe sieht so aus:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie die Syntax einiger benutzerdefinierter Einschränkungen für gängige Anwendungsfälle.

In den folgenden Beispielen werden die CEL-Makros all und exists verwendet. Weitere Informationen zu diesen Makros finden Sie unter Makros zum Auswerten von Listen.

name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted

name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked

name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2

name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP

name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers

name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
    )
  )"
actionType: ALLOW
displayName: Only allow organization members to be granted roles

name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount'])
    )
  )"
actionType: ALLOW
displayName: Only allow service accounts to be granted roles

name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfGoogleManagedServiceAgents
resource_types: iam.googleapis.com/AllowPolicy
method_types:
  - REMOVE_GRANT
condition: |-
  resource.bindings.all(
      binding,
      binding.members.all(member,
        MemberTypeMatches(member, ['iam.googleapis.com/ServiceAgent'])
      )
    )
action_type: DENY
display_name: Deny Removal Of Google-Managed Service Agents
description: Restricts the removal of Google-managed service agents from role bindings. Please reach out to your organization admins for if you have any questions.

Bedingte Organisationsrichtlinien

Sie können eine benutzerdefinierte Organisationsrichtlinie mit Tags bedingt machen. Angenommen, Sie haben die folgende benutzerdefinierte Einschränkung geschrieben, um zu verhindern, dass Rollen, die mit roles/storage. beginnen, gewährt werden:

name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted

Wenn Sie die Einschränkung bedingt erzwingen möchten, können Sie eine Organisationsrichtlinie wie die folgende erstellen:

name: organizations/ORG_ID/policies/custom.dontgrantStorageRoles
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORG_ID/environment', 'dev')"
    enforce: true
  - enforce: false

Diese Organisationsrichtlinie verhindert, dass Rollen, die mit roles/storage. beginnen, für Ressourcen gewährt werden, die auch das Tag environment=dev haben.

Von Identity and Access Management unterstützte Ressourcen

IAM unterstützt die Ressource AllowPolicy. Diese Ressource hat das Attribut resources.bindings, das für alle Methoden zurückgegeben wird, mit denen die Zulassungsrichtlinie einer Ressource geändert wird. Alle Methoden, mit denen die Zulassungsrichtlinie einer Ressource geändert wird, enden mit setIamPolicy.

Das Attribut resource.bindings hat die folgende Struktur, wobei BINDINGS ein Array von Rollenbindungen ist, die bei einer Änderung einer Zulassungsrichtlinie geändert wurden:

{
  "bindings": {
    BINDINGS
  }
}

Jede Bindung in resource.bindings hat die folgende Struktur, wobei ROLE der Name der Rolle in der Rollenbindung und MEMBERS eine Liste von Kennungen für alle Hauptkonten ist, die der Rollenbindung hinzugefügt oder daraus entfernt wurden:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Informationen zu den Formaten, die Hauptkonto-IDs haben können, finden Sie unter Hauptkonto-IDs.

Sie können das Attribut resource.bindings und seine Felder nur mit den unterstützten Funktionen auswerten. Andere Operatoren und Funktionen wie ==, !=, in, contains, startsWith und endsWith werden nicht unterstützt.

Unterstützte Funktionen

Mit den folgenden CEL-Funktionen können Sie einzelne Rollen und Mitglieder in einer Bindung auswerten.

Wenn Sie alle Bindungen im bindings-Array oder alle Elemente im members-Array auswerten möchten, verwenden Sie die Makros all und exists. Weitere Informationen finden Sie auf dieser Seite unter Makros zum Auswerten von Listen.

Sie können auch die logischen Operatoren && (and) und || (or) verwenden, um mehrteilige Bedingungen zu schreiben.

Makros zum Auswerten von Listen

Mit den Makros all und exists können Sie einen Bedingungsausdruck für eine Liste von Elementen auswerten.

Bedingungen mit verschachtelten Listen

Wenn Ihre Bedingung verschachtelte Listen enthält, sollten Sie in der Regel dasselbe Makro für alle Listen in der Bedingung verwenden.

Betrachten Sie hierzu folgende Beispiele:

• Wenn Ihre Richtlinie actionType ALLOW enthält, verwenden Sie das Makro all sowohl für die Liste members als auch für die Liste bindings, damit Richtlinienänderungen nur zulässig sind, wenn alle Mitglieder in allen geänderten Bindungen die Bedingung erfüllen.
• Wenn Ihre Richtlinie die actionType DENY enthält, verwenden Sie das Makro exists sowohl für die Liste members als auch für die Liste bindings, um sicherzustellen, dass Richtlinienänderungen nicht zulässig sind, wenn ein Mitglied in einer geänderten Bindung die Bedingung erfüllt.

Wenn Sie Makros in einer einzelnen Bedingung kombinieren, kann es sein, dass sich die Bedingung nicht wie erwartet verhält.

Angenommen, Sie möchten verhindern, dass Rollen Mitgliedern außerhalb der Organisation example.com zugewiesen werden. Die Organisation example.com hat die ID 123456789012.

Dazu schreiben Sie die folgende Bedingung:

Nicht empfohlen: falsch konfigurierte Bedingung

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Diese Bedingung verhindert anscheinend, dass Mitgliedern außerhalb der Organisation example.com Rollen zugewiesen werden. Die Bedingung wird jedoch als true ausgewertet, wenn ein beliebiges Mitgliedexample.comder Organisation in jeder der geänderten Rollenbindungen enthalten ist. Daher können Sie Mitgliedern außerhalb der Organisation example.com weiterhin Rollen zuweisen, wenn Sie auch einem Mitglied in der Organisation example.com dieselbe Rolle zuweisen.

Die Bedingung wird beispielsweise für die folgende Gruppe von Bindungen als true ausgewertet, obwohl eines der Mitglieder nicht zur Organisation example.com gehört:

 "bindings": [
    {
      "members": [
        "user:[email protected]",
        "user:[email protected]"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Stattdessen sollten Sie eine Bedingung wie die folgende schreiben:

Empfohlen: Bedingung ist korrekt konfiguriert

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Wenn Sie das Makro all sowohl für das Array members.bindings als auch für das Array resource.bindings verwenden, wird die Bedingung nur dann als true ausgewertet, wenn alle Mitglieder in allen Bindungen in der Prinzipalgruppe example.com enthalten sind.

Unterstützte Hauptkontotypen für MemberTypeMatches

Für die Funktion MemberTypeMatches müssen Sie angeben, welchem Prinzipaltyp das angegebene Mitglied entsprechen muss.

In der folgenden Tabelle sind die Hauptkontotypen aufgeführt, die Sie eingeben können, sowie eine Beschreibung der jeweiligen Hauptkontotypen. Außerdem werden die Prinzipal-IDs aufgeführt, die den einzelnen Prinzipaltypen entsprechen. Diese Kennungen sind die Werte, die in IAM-Richtlinien verwendet werden.

Nächste Schritte

• Weitere Informationen zum Organisationsrichtliniendienst
• Organisationsrichtlinien erstellen und verwalten
• Eine vollständige Liste der verwalteten Einschränkungen für Organisationsrichtlinien finden Sie hier.