カスタムの組織のポリシー制約

このページでは、Google Cloud 組織ポリシー サービスのカスタム制約を使用して、次の Cloud Storage for Firebase リソースに対する特定のオペレーションを制限する方法について説明します。

• firebasestorage.googleapis.com/DefaultBucket

組織のポリシーの詳細については、カスタムの組織のポリシーをご覧ください。

組織のポリシーと制約について

Google Cloud 組織ポリシー サービスを使用すると、組織のリソースをプログラマティックに一元管理できます。組織のポリシー管理者は組織のポリシーを定義できます。組織のポリシーは、Google Cloud リソース階層内の Google Cloud リソースやそれらのリソースの子孫に適用される、制約と呼ばれる一連の制限です。組織のポリシーは、組織レベル、フォルダレベル、またはプロジェクト レベルで適用できます。

組織のポリシーを利用することで、あらかじめ用意されたマネージド制約をさまざまな Google Cloud サービスに適用できます。ただし、組織のポリシーで制限されている特定の項目をより細かくカスタマイズして制御したい場合は、カスタム制約を作成して、それを組織のポリシーで使うこともできます。

ポリシーの継承

デフォルトでは、組織のポリシーは、そのポリシーを適用したリソースの子孫に継承されます。たとえば、フォルダにポリシーを適用した場合、Google Cloud ではそのフォルダ内のすべてのプロジェクトにそのポリシーが適用されます。この動作の詳細と変更方法については、階層評価ルールをご覧ください。

また、Cloud Storage for Firebase は基盤となる Cloud Storage バケットにファイルを保存するため、Cloud Storage リソースに適用される組織のポリシーやカスタム制約は、Cloud Storage for Firebase バケットにも適用されます。

利点

• セキュリティとガバナンス: Cloud Storage バケットのプロビジョニングに対して一元化された組織管理を適用し、データ所在地と費用管理のガードレールを遵守します。
• きめ細かい属性制御: storageClass や location などの特定のリソース属性に基づいて、デフォルトのバケット作成を制限します。

制限事項

Cloud Storage for Firebase でカスタム組織のポリシーを使用する場合は、次の制限が適用されます。

• 遡及的な適用なし: 新しく適用されたカスタム制約は、既存のリソースに適用されません。既存のデフォルト バケットは、更新されない限り評価されません。制約に違反する可能性のある既存のリソースを特定するには、ドライラン モードを使用してポリシーをテストします。
• アクセス制御の制限: カスタム制約では、バケットのアクセス制御リスト（ACL）や IAM ポリシーを制限できません。

始める前に

1. Firebase コンソールで、Firebase プロジェクトを選択または作成します。

   プロジェクトが組織の一部であり、組織 ID を把握していることを確認します。

2. コマンドラインを使用してカスタム制約を設定して適用するには、Google Cloud CLI（gcloud）をインストールします。カスタム組織のポリシーは、Firebase CLI を使用して管理することはできません。

必要なロール

カスタムの組織のポリシーを管理するために必要な権限を取得するには、組織に対する組織ポリシー管理者（roles/orgpolicy.policyAdmin）の IAM ロールを付与するよう管理者に依頼してください。

Cloud Storage for Firebase でサポートされているリソース

次の表に、カスタム制約で参照できる Cloud Storage for Firebase リソースを示します。これらのリソースのカスタム制約は Cloud Storage for Firebase バケットにも適用されるため、Cloud Storage でサポートされているリソースも参照できます。

カスタム制約を設定する

カスタム制約は、組織のポリシーを適用しているサービスでサポートされるリソース、メソッド、条件、アクションを使用して YAML ファイルで定義されます。カスタム制約の条件は、Common Expression Language（CEL）を使用して定義されます。CEL を使用してカスタム制約で条件を作成する方法については、カスタム制約の作成と管理の CEL セクションをご覧ください。

カスタムの組織のポリシーを適用する

制約を適用するには、それを参照する組織のポリシーを作成し、そのポリシーを Google Cloud リソースに適用します。

カスタム組織のポリシーをテストする

次の例では、新しく作成されるすべてのデフォルト バケットで STANDARD ストレージ クラスを使用しないことを必須にするカスタムの制約とポリシーを作成します。ポリシーで禁止されているアクションを試行して、ポリシーをテストできます。

制約を作成する

1. 次のファイルに constraint-restrict-storage-class.yaml という名前を付けて保存します。

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   ORGANIZATION_ID は、実際の組織 ID に置き換えます。

2. 制約を適用します。

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. 制約が存在することを確認します。

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   出力は次のようになります。

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

ポリシーを作成する

1. 次のファイルに policy-restrict-storage-class.yaml という名前を付けて保存します。

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   PROJECT_ID は、実際のプロジェクト ID に置き換えます。

2. ポリシーを適用します。

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. ポリシーが存在することを確認します。

   gcloud org-policies list --project=PROJECT_ID
   

   出力は次のようになります。

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

ポリシーを適用したら、Google Cloud がポリシーの適用を開始するまで 2 分ほど待ちます。

ポリシーのテスト

ストレージ クラス（デフォルトは STANDARD）を指定せずに、Cloud Storage for Firebase REST API を使用してデフォルトのバケットを作成してみます。

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

リクエストは失敗し、次のようなエラーが返されます。

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

一般的なユースケースのカスタム組織ポリシーの例

次の表では一般的なカスタム制約の構文例をまとめています。

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

次のステップ

• 組織ポリシー サービスの詳細を確認する。
• 組織のポリシーの作成と管理の方法について学習する。
• マネージドの組織ポリシーの制約の一覧を参照する。