[Google Cloud]組織ポリシーによるPublicIP利用制御

## 目的
PublicIPの利用を禁止するため、組織ポリシーを用いてアクセス制御の動作を確認する

どの組織ポリシーを制御すればよいかは、下記のURLから検索することで対象を絞ることができる
[組織のポリシーの制約](https://cloud.google.com/resource-manager/docs/organization-policy/org-policy-constraints?hl=ja#constraints-for-specific-services)

## 事前確認
PublicIPの利用制限を実施していない状態を確認する。

確認サービス
・Public静的IPアドレス（VPCネットワーク)
・Compute Engine仮想マシン
・Kubernetes Engine
・App Engine
・Cloud Functions
・Cloud Run
・VPN
・Cloud Load Balancer
・Cloud SQL
・Cloud Storage
・Marketplace
・Datastream
・VertexAI

### Public静的IPアドレス(VPCネットワーク)
PublicIPアドレス用として固定のIPをオーダ可能
![貼り付けた画像_2023_09_20_13_23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/764570f8-0b5c-d74b-f0ae-18705bba0068.png)

external-ipという名前で予約する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/22724ea3-ac3a-9353-04d1-e87998191098.png)

PublicIPが予約され利用できる状態となった
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/22b2f427-a3c2-cc8e-1c8e-e5474a634ed4.png)

### Compute Engine仮想マシン
仮想マシンインスタンスにPublicIPアドレスを割り当てることが可能
![貼り付けた画像_2023_09_20_13_17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1fa94eea-175d-fc55-1eff-c60f8a6051d0.png)

エフェメラルPublicIPが利用されている事を確認できる
![貼り付けた画像_2023_09_20_13_17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/7761dd95-5c95-2bd7-4154-30444da6f2bf.png)

### Kubernetes Engine
PodsとロードバランサにてPublicIPアドレスを割り当て公開クラスタが作成可能

一般公開クラスタで作成する
![貼り付けた画像_2023_09_20_13_31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/2e35bcd8-8975-765b-dd2b-5b9bc128ac33.png)

サービス立ち上げ、PublicIPアドレスに対してアクセスが可能である
![貼り付けた画像_2023_09_20_14_19.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5d4a484b-ea0b-0b9b-03a7-dcfc797faec9.png)

![貼り付けた画像_2023_09_20_14_20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a4daafb6-aefe-e576-fb55-0e5e271cba4a.png)


### App Engine
サンプルアプリをデプロイし、インターネットからアクセスが可能
```
% gcloud app deploy
Services to deploy:

descriptor:                  [/Users/xxx/golang-samples/appengine/go11x/helloworld/app.yaml]
source:                      [/Users/xxx/golang-samples/appengine/go11x/helloworld]
target project:              [manabu-pj-xxx]
target service:              [default]
target version:              [20230920t135658]
target url:                  [https://manabu-pj-xxx.uc.r.appspot.com]
target service account:      [106160482915-compute@developer.gserviceaccount.com]


Do you want to continue (Y/n)?  Y

Beginning deployment of service [default]...
Created .gcloudignore file. See `gcloud topic gcloudignore` for details.
╔════════════════════════════════════════════════════════════╗
╠═ Uploading 6 files to Google Cloud Storage                ═╣
╚════════════════════════════════════════════════════════════╝
File upload done.
Updating service [default]...done.
Setting traffic split for service [default]...done.
Deployed service [default] to [https://manabu-pj-399602.uc.r.appspot.com]

You can stream logs from the command line by running:
  $ gcloud app logs tail -s default

To view your application in the web browser run:
  $ gcloud app browse
```

ブラウザからアクセスを確認
```
% gcloud app browse
WARNING:  Python 3.5-3.7 will be deprecated on August 8th, 2023. Please use Python version 3.8 and up.

If you have a compatible Python interpreter installed, you can use it by setting
the CLOUDSDK_PYTHON environment variable to point to it.

Opening [https://manabu-pj-xxx.uc.r.appspot.com] in a new tab in your default browser.
```

![貼り付けた画像_2023_09_20_13_59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e79b176d-b8bc-1df4-5916-1d09a4f965e4.png)

IPアドレス確認
```
% dig manabu-pj-xxx.uc.r.appspot.com

; <<>> DiG 9.10.6 <<>> manabu-pj-xxx.uc.r.appspot.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45012
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;manabu-pj-xxx.uc.r.appspot.com. IN	A

;; ANSWER SECTION:
manabu-pj-xxx.uc.r.appspot.com. 6 IN	A	142.250.207.20
```

### Cloud Functions
サンプルFunctionsを作成し、外部からアクセスが可能
![貼り付けた画像_2023_09_20_14_31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/837228ab-3c6a-0219-0059-fdc40f0be55b.png)

ブラウザよりアクセス
![貼り付けた画像_2023_09_20_14_34.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/08279a01-4558-643c-2126-dc70bc02e43f.png)

digにてPublicIPを確認
```
% dig us-central1-manabu-pj-xxx.cloudfunctions.net

; <<>> DiG 9.10.6 <<>> us-central1-manabu-pj-399602.cloudfunctions.net
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 25043
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;us-central1-manabu-pj-xxx.cloudfunctions.net. IN A

;; ANSWER SECTION:
us-central1-manabu-pj-xxx.cloudfunctions.net. 300 IN	A 216.239.36.54
```

### Cloud Run
サンプルコンテナを利用し、外部からアクセスが可能
![貼り付けた画像_2023_09_20_14_38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/017f1ecf-34af-9935-ea19-fe222bece169.png)

ブラウザよりアクセス確認
![貼り付けた画像_2023_09_20_14_39.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5f193469-0fb4-d3da-e4fb-384bc945955c.png)

digにてPublicIPを確認
```
dig hello-wr7nl34dpq-uc.a.run.app

; <<>> DiG 9.10.6 <<>> hello-wr7nl34dpq-uc.a.run.app
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4467
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;hello-wr7nl34dpq-uc.a.run.app.	IN	A

;; ANSWER SECTION:
hello-wr7nl34dpq-uc.a.run.app. 21600 IN	A	216.239.34.53
hello-wr7nl34dpq-uc.a.run.app. 21600 IN	A	216.239.32.53
hello-wr7nl34dpq-uc.a.run.app. 21600 IN	A	216.239.38.53
hello-wr7nl34dpq-uc.a.run.app. 21600 IN	A	216.239.36.53
```

### VPN
PublicIPを用いたVPN構成のオーダが可能

VPN接続作成時に、PublicIPアドレスが必要となるため作成する
![貼り付けた画像_2023_09_20_14_43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/9fb93748-cbc1-4fd1-c043-1afe6d247506.png)

Public静的の割り当てが可能
![貼り付けた画像_2023_09_20_14_43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/7afdf71a-1ad4-504d-bcf7-f3efc466f39f.png)


### Cloud Load Balancer
インターネットから内部サービス向けのロードバランサを作成可能

インターネットから内部向けの通信を選択
![貼り付けた画像_2023_09_20_14_54.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/9de7a2f0-ff83-9d95-6076-d453ddebb839.png)

インターネット側のPublicIPはエフェメラルもしくは静的IPが利用可能
![貼り付けた画像_2023_09_20_14_55.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/04c60402-0850-0913-6c5d-99749c1df707.png)

PublicIPを用いたロードバランサの作成が可能
![貼り付けた画像_2023_09_20_15_17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/edfbb39c-b8ee-2634-eeab-ad0dbc7f8e87.png)

### Cloud SQL
SQLインスタンスを作成し、PublicIPを利用した構成が可能

インスタンス作成時にパブリックIPを付与できる
![貼り付けた画像_2023_09_20_15_25.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/6a4a7023-88a3-984c-f626-5a69bd5d9689.png)

パブリックIPを持ったMySQLインスタンスが作成される
![貼り付けた画像_2023_09_20_15_42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c4c1bd90-a7dd-0264-a396-e3197496ef0a.png)

接続テストを実施し、問題なくアクセスが可能
![貼り付けた画像_2023_09_20_15_56.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/579481db-2715-bb86-a5dc-20481860d797.png)

### Cloud Storage
パブリック公開のバケットを作成し、インターネットからのアクセスが可能

バケット作成時に、「公開アクセス禁止を適用する」のチェックをはずすことが可能
![貼り付けた画像_2023_09_21_11_18.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b7a46ed9-f529-94b4-0163-c19e2d8e7286.png)

**AllUser**にバケットの読み取り権限を付与
![貼り付けた画像_2023_09_21_11_33.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/ed2d35f7-99a3-aefb-70f3-6b3c7c56e9b9.png)

適当な画像をアップロードし、インターネットからアクセスすることが可能
![貼り付けた画像_2023_09_21_11_30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5a70bd7e-585b-7ef1-8f37-db64fa14f761.png)

### Marketplace
Marketplaceの画面を開き、プロダクトの確認とオーダが可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/6181059a-271f-d63d-8d8c-29837fd54599.png)

### Datastream
パブリックアドレスのDatastreamからSQLへのアクセス設定が可能
![貼り付けた画像_2023_09_21_13_33.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/4d5a497c-be73-f3fd-63e4-14aca7ae8c66.png)

### VertexAI Workbench
パブリックアドレスを用いて通信させることが可能
![貼り付けた画像_2023_09_21_14_07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/d032bb9f-239a-f5b8-14fd-6a978d78364f.png)


## ----アクセス制御と結果----

## アクセス制御の実施
今回アクセス制御を実施する方法として、組織ポリシーでの制御を実施する
組織のポリシーを設定することで、組織内のすべてのプロジェクトでPublicIPアドレスの利用を禁止する
場合によっては特定のプロジェクトのみに適用なども可能

組織とプロジェクトの構成
![貼り付けた画像_2023_09_20_16_40.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c5d2f009-64cc-96bb-d27c-a49733a3fb48.png)

### 組織ポリシーの設定の事前準備
#### 編集権限の付与
組織ポリシーの作成には権限が必要なため、付与する
[組織のポリシーの作成と管理](https://cloud.google.com/resource-manager/docs/organization-policy/creating-managing-policies?hl=ja#before_you_begin)

![貼り付けた画像_2023_09_20_16_13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/bb48ed41-eadd-b971-a22e-834a3dffc7fa.png)

#### 組織ポリシーの編集
[組織レベルでポリシー制約を設定する](https://cloud.google.com/compute/docs/ip-addresses/reserve-static-external-ip-address?hl=ja#setorgpolicy)

**組織(xcloudyx.net)** -> **IAMと管理** -> **組織のポリシー**を選択
![貼り付けた画像_2023_09_20_16_14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/151d79d1-71b3-41fc-af90-a7065e2086a3.png)

### Public静的IPアドレス（VPCネットワーク)
組織ポリシーでの制御はできない

### ComputeEngineの制御方法
**<font color=red>constraints/compute.vmExternalIpAccess**</font>の組織ポリシーを変更することで、アクセス制御が可能
組織ポリシーにて**constraints/compute.vmExternalIpAcces**でフィルタをかけ、**Define allowed external IPs for VM instances**を選択
![貼り付けた画像_2023_09_21_10_07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/3210eff7-a367-3a2c-ec60-6ea67b0b5581.png)

**ポリシーの管理**を選択
![貼り付けた画像_2023_09_20_16_29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/d4a00538-ac47-4475-e5b1-a5ed73d23b44.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_20_16_30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e0bea292-e51b-a913-ed80-b1a4c4a5afc8.png)

ポリシーの値を**すべて許可しない**に変更し、**ポリシーを設定**を選択
![貼り付けた画像_2023_09_20_16_31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/9d140951-c3ea-7216-6a04-1b3caea3b785.png)

ポリシーが更新され、すべて拒否になっている
![貼り付けた画像_2023_09_20_16_32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e3a2898e-6791-6901-ca22-5246ac5172aa.png)

上位組織で拒否のポリシーとしたため、下位のプロジェクトに設定内容が継承されている事を確認
![貼り付けた画像_2023_09_20_16_34.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/37971174-3d56-2028-43a9-3f698d16b945.png)

#### ComputeEngineの制御結果
組織ポリシーにより、エフェメラルのPublicIPも既に作成済みの静的IPの割り当て（選択）ができない
![貼り付けた画像_2023_09_20_16_43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/64ddaa64-18f7-f98a-ad5e-9b19717ab185.png)

何も選択ができない状態となっている
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/f49ba4b5-5ac9-ca0e-6f93-845fcdee0edf.png)

### Kubernetes Engineの制御方法
ComputeEngineおよびロードバランサと同様の設定、一般公開クラスタ(Public向け）の作成は失敗する
**<font color=red>constraints/compute.vmExternalIpAccess**</font>
**<font color=red>constraints/compute.restrictLoadBalancerCreationForTypes**</font>

#### Kubernetes Engineの制御結果
Publicクラスタのデプロイに失敗する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/bcef843e-a29a-14c6-7c48-48f322574b78.png)

### App Engineの制御方法
組織ポリシーでの制御はできない
AppEngineのFirewallで制御する

### Cloud Functionsの制御方法

インバウンド
**<font color=red>constraints/cloudfunctions.allowedIngressSettings**</font>

アウトバウンド
**<font color=red>constraints/cloudfunctions.allowedVpcConnectorEgressSettings**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Allowed ingress settings (Cloud Functions)**を選択
![貼り付けた画像_2023_09_21_12_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a8b215dc-d0df-5927-61f4-e75b71e51064.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_12_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c3329943-c9e3-f30e-cc63-3dcfc74099f7.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_12_05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b37cdcbd-ab61-5b30-3e24-9de1ee4001eb.png)

**カスタム** -> **許可** -> **ALLOW_INTERNAL_ONLY** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_12_06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b406f037-1601-43ae-ee8d-49145470d9a0.png)

ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_12_06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/cbc294f6-ffa7-ac47-318d-be37d9c967ba.png)

#### Cloud Functionsの制御結果
インターネットからのアクセスに失敗する状態となった
![貼り付けた画像_2023_09_21_12_08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/57c371a0-637f-e7a0-a1d9-00088901d356.png)

### Cloud Runの制御方法
**<font color=red>run.allowedIngress**</font>の組織ポリシーを変更することで、アクセス制御が可能
[許可される上り（内向き）設定の制限](https://cloud.google.com/run/docs/securing/using-vpc-service-controls?hl=ja#restrict-ingress)

組織ポリシーより、**Allowed ingress settings** (Cloud Run)を選択
![貼り付けた画像_2023_09_20_17_31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/9409a0b2-9905-56c1-350d-1438751bec17.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_20_17_33.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/8cccc779-4d8e-25b5-2470-a3c0101beb53.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_20_17_34.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/419255eb-26c5-86e1-9755-4147ade08df2.png)

**カスタム** -> **許可**を選択
内部からの通信と、ロードバランサ経由の通信のみを許可する
**internal**と**internal-and-cloud-load-balancing**を追加して、**完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_20_17_35.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/6714333a-3b0d-5afc-6cd0-361ca6373b42.png)

#### Cloud Runの制御結果
上記により、CloudRunのサービス作成にて、**すべて**を選択することができなくなる
![貼り付けた画像_2023_09_20_17_38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/279b3f0f-af7a-9a8e-f50f-03b834022ed9.png)

### VPNの制御方法
**<font color=red>constraints/compute.restrictVpnPeerIPs**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Restrict VPN Peer IPs**を選択
![貼り付けた画像_2023_09_21_10_42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/ac04e9c3-0cd3-8b8c-0a7e-81ce1ac6119d.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_10_44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/f29ba55a-b314-31d4-8394-85e16d986bb8.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_10_44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/81794520-a2de-8188-55df-73bce3473ed5.png)

**すべて許可しない** -> **完了** -> **ポリシーを設定**を選択
VPN利用時はPublicIPが必須となるので、すべて許可しないとする
![貼り付けた画像_2023_09_21_10_46.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1ac01fc6-e85e-b221-08f8-e4a391ce5ee5.png)

拒否のルールがポリシーに適用された
![貼り付けた画像_2023_09_21_10_48.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/6f368425-99ef-93bd-970e-2040c7bda183.png)

#### VPNの制御結果
上記により、VPN作成にて、最終的にエラーとなる
途中までオーダできそうな感じだったが、**オーダ後**、最終的にエラーとなりVPNサービスの作成は失敗した。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/0eaa6b46-a4b7-dc3c-2172-7611073c5805.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/55d27e57-a192-4419-2d7c-96a2d1a9fbcc.png)

### Cloud Load Balancerの制御方法
**<font color=red>constraints/compute.restrictLoadBalancerCreationForTypes**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Restrict Load Balancer Creation Based on Load Balancer Types**を選択
![貼り付けた画像_2023_09_21_10_10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1e4fa80d-28d4-c5ab-5a2f-16e7ae2cd632.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_10_11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/541435fd-3a97-9630-ea57-291b6c023569.png)

**カスタマイズ** -> **ルールを追加**を選択
![貼り付けた画像_2023_09_21_10_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/d9f71da8-7652-797e-bc21-032485980853.png)

**カスタム** -> **拒否**を選択し
ルールの中身に「**in:EXTERNAL**」を入れることで全てのPublicロードバランサタイプを拒否する
続けて、**完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_10_30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1dfa80e0-94f1-9b26-046c-5fe62333ee0a.png)

in:EXTERNALによって、複数のポリシーが追加されたことがわかる
![貼り付けた画像_2023_09_21_10_31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/4dba2ff2-991f-6176-87e4-8c786221de34.png)

#### Cloud Load Balancerの制御結果
上記により、Externalタイプロードバランサの作成にて、最終的にエラーとなる
途中までオーダできそうな感じだったが、**オーダ後**、最終的にエラーとなりPublicタイプのLBサービスの作成は失敗した。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/00cd4342-b3ac-857b-f3a7-e2d8712a0621.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/83872d0f-5aca-4305-9b27-09e133a44360.png)

### Cloud SQLの制御方法
**<font color=red>constraints/sql.restrictPublicIp**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Restrict Public IP access on Cloud SQL instances**を選択
![貼り付けた画像_2023_09_21_10_55.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b9b6c8de-5ba0-9615-0117-375aa29e477d.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_10_57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b3ea470f-7e55-d9e5-65b8-e47c9bf635ec.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_10_58.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5a4a0329-4d89-70b5-37be-05b334c24391.png)

**オン** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_10_59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/dcf7dd24-f068-ea2c-0cb0-1ab777f87551.png)

組織ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_11_00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c19ff3ae-d1fe-f8ea-6e10-a8de34267af9.png)

#### Cloud SQLの制御結果
上記により、Cloud SQLのオーダ画面にてPublicIPの付与ができない状態となった
![貼り付けた画像_2023_09_21_11_01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/57946ae6-e308-50d4-824f-f7a2acc504e5.png)

### Cloud Storageの制御方法
**<font color=red>constraints/storage.publicAccessPrevention**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Enforce Public Access Prevention**を選択
![貼り付けた画像_2023_09_21_11_38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/291232d1-97d9-c569-8015-3d993532a5a7.png)

**ポリシーの管理**を選択
![貼り付けた画像_2023_09_21_11_40.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/4553b146-38f9-3a4f-f9c8-9ddd21442a20.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_11_40.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/48d428a8-ecf9-a1e9-6436-774bb14ca0d1.png)

**オン** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_11_41.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e457c26f-c5d3-370c-175e-51c94dee82dc.png)

組織ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_11_42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b4304cbc-d90b-74c9-7023-fa0fa7665b02.png)

#### Cloud Storageの制御結果
上記により、バケット作成時にエラーはないが、AllUsersに読み取り許可の設定を実施するとエラーとなった
![貼り付けた画像_2023_09_21_11_44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1c63cc3a-56b5-10a3-09b9-15fe65885460.png)

### Marketplaceの制御方法
**<font color=red>constraints/commerceorggovernance.disablePublicMarketplace**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Disable Public Marketplace**を選択
![貼り付けた画像_2023_09_21_13_12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a1583076-47a9-4c58-d515-d379a97f7ae9.png)

**ポリシーの管理**を選択
![貼り付けた画像_2023_09_21_13_13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5b8dd57b-07ab-dc96-95cf-6f8be84ab597.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_13_14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/ae703bd9-1f82-c5e0-6228-ec2b391a79c1.png)

**オン** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_13_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b058171c-20c0-f133-3221-dd50fd20e8e9.png)

組織ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_13_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/86341eb1-b883-8cd1-9f5e-b51f805690e6.png)

#### Marketplaceの制御結果
組織ポリシーで無効としたため、何も見れなくなった
![貼り付けた画像_2023_09_21_13_16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/90d12e6d-07c2-83d9-e429-17578896f738.png)

### Datastreamの制御方法
**<font color=red>constraints/datastream.disablePublicConnectivity**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Datastream - Block Public Connectivity Methods**を選択
![貼り付けた画像_2023_09_21_13_30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a697181c-fff5-16a4-7ddf-b43c36698a58.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_13_44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c3e72b2e-16ce-4ddd-9bcc-643ef834971b.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_13_45.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/6e08ff7b-8d81-aa2d-e384-23c9d03e0206.png)

**オン** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_13_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b058171c-20c0-f133-3221-dd50fd20e8e9.png)

組織ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_13_46.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/5892300f-b1bb-d03c-6a72-0cd78c2b21ca.png)

#### Datastreamの制御結果
PublicIPを用いたDatastreamを作成しようとすると、最後にエラーとなる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/060557b9-332d-44d9-824e-183edfcdcd1a.png)

### VertexAI Workbenchの制御方法
**<font color=red>constraints/ainotebooks.restrictPublicIp**</font>
の組織ポリシーを変更することで、アクセス制御が可能

組織ポリシーより、**Restrict public IP access on new Vertex AI Workbench notebooks and instances**を選択
![貼り付けた画像_2023_09_21_14_00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/46c8a484-a538-4813-f277-fd73af26f556.png)

**ポリシーを管理**を選択
![貼り付けた画像_2023_09_21_14_01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e4ff7109-dc1f-379e-d4d1-721bd386c1f3.png)

**カスタマイズ** -> **ルールの追加**を選択
![貼り付けた画像_2023_09_21_14_01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/06201628-b15d-727a-22e8-e72424d21915.png)

**オン** -> **完了** -> **ポリシーを設定**を選択
![貼り付けた画像_2023_09_21_13_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b058171c-20c0-f133-3221-dd50fd20e8e9.png)

組織ポリシーが有効になったことがわかる
![貼り付けた画像_2023_09_21_14_02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/fb5d1790-0aa9-b8e0-2c96-d27a07dae659.png)

#### VertexAI Workbenchの制御結果
**外部IPアドレスを割り当て**が選択できなくなり、PublicIP持ちで作成することができなくなった
![貼り付けた画像_2023_09_21_14_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/20d1dd3c-5065-13dd-da33-59a23b5b76eb.png)