맞춤 조직 정책 제약 조건

이 페이지에서는 Google Cloud 조직 정책 서비스 커스텀 제약 조건을 사용하여 다음 Cloud Storage for Firebase 리소스에 대한 특정 작업을 제한하는 방법을 보여줍니다.

• firebasestorage.googleapis.com/DefaultBucket

조직 정책에 대한 자세한 내용은 커스텀 조직 정책을 참조하세요.

조직 정책 및 제약 조건 정보

Google Cloud 조직 정책 서비스를 사용하면 조직 리소스를 중앙에서 프로그래매틱 방식으로 제어할 수 있습니다. 조직 정책 관리자는 Google Cloud 리소스 계층 구조에서 Google Cloud 리소스 및 이러한 리소스의 하위 요소에 적용되는 제약 조건이라는 제한사항 집합인 조직 정책을 정의할 수 있습니다. 조직, 폴더 또는 프로젝트 수준에서 조직 정책을 적용할 수 있습니다.

조직 정책은 다양한 Google Cloud 서비스에 내장된 관리형 제약 조건을 제공합니다. 그러나 조직 정책에서 제한되는 특정 필드를 보다 세부적으로 맞춤설정 가능한 방식으로 제어하려면 커스텀 제약조건을 만들고 조직 정책에 이러한 커스텀 제약조건을 사용할 수 있습니다.

정책 상속

기본적으로 조직 정책은 정책을 적용하는 리소스의 하위 요소에 상속됩니다. 예를 들어 폴더에 정책을 적용하면 Google Cloud에서 폴더의 모든 프로젝트에 정책을 적용합니다. 이 동작 및 이를 변경하는 방법에 대한 자세한 내용은 계층 구조 평가 규칙을 참조하세요.

또한 Cloud Storage for Firebase는 기본 Cloud Storage 버킷에 파일을 저장하므로 Cloud Storage 리소스에 적용되는 조직 정책 또는 커스텀 제약조건도 Cloud Storage for Firebase 버킷에 적용됩니다.

이점

• 보안 및 거버넌스: Cloud Storage 버킷 프로비저닝에 대한 중앙 집중식 조직 제어를 적용하여 데이터 상주 및 비용 관리 가드레일을 준수합니다.
• 세분화된 속성 제어: storageClass 또는 location와 같은 특정 리소스 속성을 기반으로 기본 버킷 생성을 제한합니다.

제한사항

Cloud Storage for Firebase에 커스텀 조직 정책을 사용할 때는 다음 제한사항이 적용됩니다.

• 소급 적용 없음: 새로 적용된 커스텀 제약 조건은 기존 리소스에 적용되지 않습니다. 기존 기본 버킷은 업데이트되지 않는 한 평가되지 않습니다. 제약조건을 위반할 수 있는 기존 리소스를 식별하려면 테스트 실행 모드를 사용하여 정책을 테스트하면 됩니다.
• 액세스 제어 제한사항: 커스텀 제약 조건은 버킷의 액세스 제어 목록 (ACL) 또는 IAM 정책을 제한할 수 없습니다.

시작하기 전에

1. Firebase Console에서 Firebase 프로젝트를 선택하거나 만듭니다.

   프로젝트가 조직에 속해 있고 조직 ID를 알고 있어야 합니다.

2. 명령줄을 사용하여 커스텀 제약 조건을 설정하고 시행하려면 Google Cloud CLI를 설치(gcloud)합니다. Firebase CLI를 사용하여 커스텀 조직 정책을 관리할 수 없습니다.

필요한 역할

커스텀 조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 조직 정책 관리자(roles/orgpolicy.policyAdmin) IAM 역할을 부여해 달라고 요청하세요.

지원되는 리소스 Cloud Storage for Firebase개

다음 표에는 커스텀 제약 조건에서 참조할 수 있는 Cloud Storage for Firebase 리소스가 나와 있습니다. Cloud Storage for Firebase 버킷에도 해당 리소스의 커스텀 제약조건이 적용되므로 Cloud Storage 지원되는 리소스를 참조할 수도 있습니다.

커스텀 제약조건 설정

커스텀 제약 조건은 조직 정책을 적용하는 서비스에서 지원되는 리소스, 메서드, 조건, 작업을 통해 YAML 파일에서 정의됩니다. 커스텀 제약 조건의 조건은 Common Expression Language(CEL)를 통해 정의됩니다. CEL을 사용해서 커스텀 제약 조건에서 조건을 빌드하는 방법은 커스텀 제약 조건 만들기 및 관리의 CEL 섹션을 참조하세요.

커스텀 조직 정책 적용

제약 조건을 참조하는 조직 정책을 만든 후 해당 조직 정책을 Google Cloud 리소스에 적용하여 제약 조건을 적용할 수 있습니다.

커스텀 조직 정책 테스트

다음 예시에서는 새로 생성된 모든 기본 버킷이 STANDARD 스토리지 클래스를 사용하지 않도록 하는 커스텀 제약 조건 및 정책을 만듭니다. 정책에서 방지해야 하는 작업을 시도하여 정책을 테스트할 수 있습니다.

제약조건 만들기

1. 다음 파일을 constraint-restrict-storage-class.yaml로 저장합니다.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   ORGANIZATION_ID를 조직 ID로 바꿉니다.

2. 제약조건을 적용합니다.

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. 제약조건이 있는지 확인합니다.

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   출력은 다음과 비슷합니다.

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

정책 만들기

1. 다음 파일을 policy-restrict-storage-class.yaml로 저장합니다.

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   PROJECT_ID를 프로젝트 ID로 바꿉니다.

2. 정책을 적용합니다.

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. 정책이 있는지 확인합니다.

   gcloud org-policies list --project=PROJECT_ID
   

   출력은 다음과 비슷합니다.

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

정책을 적용한 후 Google Cloud가 정책 시행을 시작할 때까지 2분 정도 기다립니다.

정책 테스트

스토리지 클래스 (기본값은 STANDARD)를 지정하지 않고 Cloud Storage for Firebase REST API를 사용하여 기본 버킷을 만들어 봅니다.

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

다음과 유사한 오류가 표시되면서 요청이 실패합니다.

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

일반적인 사용 사례에 대한 커스텀 조직 정책 예시

다음 표에서는 몇 가지 일반적인 커스텀 제약 조건에 대한 문법 예시를 제공합니다.

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

다음 단계

• 조직 정책 서비스 자세히 알아보기
• 조직 정책 만들기 및 관리 방법 자세히 알아보기
• 관리형 조직 정책 제약 조건의 전체 목록 확인하기