无论IAM角色如何，有没有办法限制在GCP中创建特定资源？

Question

我需要限制 VPCsof 所有项目的创建，无论 IAM 角色如何。

我尝试了organisation policies，我找不到任何限制资源创建的策略。

还有其他方法可以限制VPCs的创建吗？

Answer 1

无法使用组织策略来限制 VPC 创建，但还有另一种利用 IAM 角色和权限的方法。

查看有关管理所有网络所需角色的文档。

最强大的角色是roles/compute.networkAdmin，它可以让您控制项目中网络的各个方面；

创建、修改和删除网络资源的权限，防火墙规则和 SSL 证书除外。网络管理员角色允许对防火墙规则、SSL 证书和实例进行只读访问（以查看它们的临时 IP 地址）。网络管理员角色不允许用户创建、启动、停止或删除实例。

如果您想限制用户的权限，请为他们分配roles/compute.networkUser 角色：

提供对共享 VPC 网络的访问权限

一旦获得授权，服务所有者就可以使用属于宿主项目的 VPC 网络和子网。例如，网络用户可以创建属于宿主项目网络的 VM 实例，但不能在宿主项目中删除或创建新网络。

如果您想要一些示例，请查看描述 IAM roles for Networking-related Job Functions 的文档。