创建组织网络政策

组织网络政策定义了通过 Google Distributed Cloud (GDC) 网闸隔离配置公开的组织级托管式服务的网络访问权限控制。您可以使用 Networking API 中的 OrganizationNetworkPolicy 资源来定义这些访问权限控制。

如需获得配置组织网络政策所需的权限，请让您的 IAM 组织管理员为您授予 Organization Network Policy Admin (org-network-policy-admin) 角色。

您可以为以下 GDC 托管式服务定义组织网络政策，以控制访问权限：

• 所有服务
• GDC 控制台
• Distributed Cloud CLI
• 全球 API 服务器
• Identity and Access Management (IAM)
• 密钥管理系统 (KMS)
• 对象存储
• Artifact Registry (SAR)
• Vertex AI
  • 政策支持的 Vertex AI 中的服务包括光学字符识别 API、Speech-to-Text API、Translation API 和 Workbench。
• 虚拟机管理 (VMM)

默认政策

默认情况下，以下 GDC 托管式服务具有以下原则：

GDC 服务	原则
所有服务	allow-all
GDC 控制台	allow-all
gdcloud CLI	allow-all
全球 API 服务器	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
对象存储	deny-by-default
SAR	allow-all
Vertex AI 和受支持的服务	deny-by-default
VMM	deny-by-default

组织网络政策示例

以下示例展示了允许来自某个 IP 地址的流量访问 GDC 代管式服务的 OrganizationNetworkPolicy 资源。

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

执行以下变量替换操作：

变量	说明
MANAGEMENT_API_SERVER	可用区级 API 服务器的 kubeconfig 路径。如果您尚未为目标可用区中的 API 服务器生成 kubeconfig 文件，请参阅登录了解详情。
POLICY_NAME	要为政策指定的名称。 例如，allow-ui-access。
SERVICE_NAME	要应用政策的服务的名称。为每项服务使用以下值： 所有服务：all GDC 控制台：ui-console gdcloud CLI：api-server 全球 API 服务器：global-api-server IAM：iam KMS：kms 对象存储：object-storage SAR：system-artifact-registry Vertex AI：ai VMM：vmm
CIDR	采用 CIDR 表示法的 IP 地址范围，例如 10.251.0.0/24。您可以添加多个 ipBlock 条目，以允许从多个范围进行访问。