概览
IAP 是一项全球性服务，任何 IAP 配置都会在全球范围内复制。因此，如果您必须遵守严格的区域数据驻留合规性要求，则可能需要确保无法为整个组织、特定项目或特定文件夹中的应用启用 IAP。 您可以通过设置组织政策限制条件来控制 IAP 启用。IAP 组织政策
以下组织政策会限制为全球和区域应用启用 IAP：- 全球：
iap.requireGlobalIapWebDisabled 区域级：
iap.requireRegionalIapWebDisabled
您可以使用组织政策来阻止管理员在以下服务上启用 IAP：
* Compute Engine 后端服务，API 参考文档：backendServices/regionBackendServices 插入、更新和修补操作
* App Engine 应用，API 参考文档：Applications.updateApplication
启用其中一个或两个政策限制条件后，系统会分别阻止未来在全球性或区域性应用上启用 IAP。设置政策限制条件不会自动停用为现有 Compute Engine 或 App Engine 应用实施的 IAP 保护。 对于已启用 IAP 的现有应用，请确保在不牺牲安全状况的情况下，使其符合新设置的政策。
组织政策专门且严格地仅控制 IAP 启用，而不控制 IAP 配置的其他方面。 实施组织政策后，管理员可以为在强制执行政策时任何不合规的应用更新任何 IAP 设置，包括 OAuth 客户端信息。 这种灵活性使您能够保持强大的安全状况，同时努力使所有服务都符合数据驻留要求。