管理默认安全的组织资源

如果您是新客户，Google Cloud 会自动为您 组织资源：

• 您网域中的用户首次登录。
• 用户创建了一个没有关联的组织资源的结算账号。

此组织资源的默认配置（以无限制的访问权限为特征）可能会使基础架构容易遭到安全漏洞的侵害。例如，默认服务账号密钥创建是一个严重漏洞，会使系统面临潜在的入侵风险。

采用默认的组织政策强制执行时，不安全 安全状况通过一系列强制执行的组织政策来解决 在创建组织资源时指定。这些违规处置措施的示例包括停用服务账号密钥创建功能和停用服务账号密钥上传功能。

当现有用户创建组织时， 新组织资源可能与现有组织资源不同。 系统会对 2024 年 5 月 3 日当天或之后创建的所有组织强制执行“从设计上保证安全”组织政策。在 2024 年 2 月期间创建的一些组织 和 2024 年 4 月时可能也会设置这些默认的强制措施。如需查看应用于贵组织的组织政策，请参阅查看组织政策。

作为管理员，如果出现以下情况，这些组织政策将 那么系统会自动实施强制措施：

• Google Workspace 或 Cloud Identity 账号：如果您拥有 Google Workspace 或 Cloud Identity 账号后，系统会创建一个组织资源， 与您的网域相关联的电子邮件地址。系统会自动对组织资源强制执行“原生安全性”组织政策。
• 结算账号创建：您创建的结算账号未关联 组织资源，那么系统会自动创建 创建。系统会对组织资源强制执行默认安全的组织政策。此场景适用于 Google Cloud 控制台和 gcloud CLI。

所需权限

Identity and Access Management 角色 roles/orgpolicy.policyAdmin 可让管理员管理组织政策。您必须是组织政策管理员才能更改或替换组织政策。如需授予该角色，请运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

替换以下内容：

• ORGANIZATION：贵组织的唯一标识符。
• PRINCIPAL：要为其添加绑定的主账号。此项应为 采用 user|group|serviceAccount:email 或 domain:domain 格式。例如 user:[email protected]。
• ROLE：要授予主账号的角色。使用 预定义角色。在本例中，它应为 roles/orgpolicy.policyAdmin。

对组织资源强制执行组织政策

下表列出了 系统会在您创建组织资源时自动强制执行此设置。

管理组织政策的执行

您可以通过以下方式管理组织政策的强制执行情况：

列出组织政策

如需检查您的组织是否强制执行了默认安全的组织政策， 请使用以下命令：

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为组织的唯一标识符。

停用组织政策

如需停用或删除组织政策，请运行以下命令：

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

替换以下内容：

• CONSTRAINT_NAME 是组织政策的名称 要删除的限制条件。示例见 iam.allowedPolicyMemberDomains。
• ORGANIZATION_ID 是贵组织的唯一标识符。

为组织政策添加或更新值

如需为组织政策添加或更新值，您需要将值存储在 YAML 文件中。 此文件的内容大致如下例所示：

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

如需添加或更新 YAML 文件中列出的这些值，请运行以下命令：

gcloud org-policies set-policy POLICY_FILE

将 POLICY_FILE 替换为包含组织政策值的 YAML 文件的路径。