受管理的政策限制概览

本页面简要介绍了代管式组织政策限制条件及其互动。

政策执行依赖项

数据存储区是否强制执行代管式组织政策限制条件取决于多个因素：您要配置的数据源类型、您的项目是否受 VPC Service Controls 保护，以及您的项目是否包含在 enforcedProjects 参数中。

相关政策或服务	说明
限制数据连接器允许的数据源	如果您在限制数据连接器允许的数据源托管式组织政策限制条件中允许某个数据源（例如 Google 云端硬盘或 Gmail），则该限制条件会自动允许连接到其众所周知的 FQDN。此权限意味着您无需在限制数据连接器的出站网域托管式政策限制条件中定义这些网域。 对于强制执行该政策的项目（启用了 VPCSC 的项目或 enforcedProjects 中列出的项目），您必须使用限制数据连接器的出站网域政策，明确允许第三方数据源所需的 FQDN（如果 FQDN 未自动允许）。
限制数据连接器的出站网域	对于强制执行该政策的项目（启用了 VPCSC 的项目或 enforcedProjects 中列出的项目），此托管式组织政策限制条件可让您指定在添加数据存储区时允许使用哪些完全限定域名 (FQDN)。
替换自定义 MCP 数据存储区的组织政策	此托管式组织政策限制条件用于控制是否可以使用自定义 Model Context Protocol (MCP) 数据源。 您必须先关闭 Disable custom MCP server connector for Gemini Enterprise 托管式限制以启用自定义 MCP，然后才能创建自定义 MCP 数据存储区。
VPC Service Controls	VPC Service Controls 边界可以保护您的项目。如需了解详情，请参阅使用 VPC Service Controls。 此限制条件的强制执行还取决于您的项目是否受 VPC Service Controls (VPCSC) 边界保护。 如需了解详情，请参阅 VPCSC 互动和强制执行。

VPCSC 互动和强制执行

此限制条件的强制执行行为取决于项目的 VPCSC 状态以及它是否包含在组织政策限制条件的 enforcedProjects 参数中，如下表所示：

VPCSC 状态	项目包含在 enforcedProjects 中	allowedEgressFqdns 违规处置	allowedDataSources 违规处置
已启用	是	如果未列出所需网域，则配置会被屏蔽。	如果数据源未列出，则预配会被屏蔽。
已启用	否	如果未列出所需网域，则配置会被屏蔽。	如果数据源未列出，则预配会被屏蔽。
未启用	是	如果未列出所需网域，则配置会被屏蔽。	如果数据源未列出，则预配会被屏蔽。
未启用	否	即使网域未列出，也允许配置。	即使未列出数据源，也允许预配。

场景示例

为了解这些政策如何相互作用，请参考以下示例。