Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

機構限制範例

您可以使用組織權限限制，控管網路的傳出流量，讓使用者和工作負載只能存取允許的Google Cloud 組織。這些限制有助於防止資料外洩至未經授權的外部環境。以下範例說明如何針對常見情境 (例如單一或多個組織、Cloud Storage 讀取權限和上傳要求)，設定組織權限限制要求標頭。

僅限貴機構存取

在本範例中，機構 A 的 Google Cloud 管理員和輸出 Proxy 管理員共同合作，限制員工只能存取Google Cloud 機構中的資源。

如要限制只有貴組織可以存取，請按照下列步驟操作：

身為 Google Cloud 管理員，如要取得組織 A 的 Google Cloud 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Google Cloud管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 A 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

限制組織存取權，並允許 Cloud Storage 資源的讀取要求

在這個範例中，機構 A 的 Google Cloud 管理員和輸出 Proxy 管理員共同合作，限制員工只能存取Google Cloud 機構中的資源，但 Cloud Storage 資源的讀取要求除外。管理員可能希望 Cloud Storage 資源的讀取要求不受組織權限限制，確保員工可以存取使用 Cloud Storage 託管靜態內容的外部網站。管理員使用 cloudStorageReadAllowed 選項，允許對 Cloud Storage 資源的讀取要求。

如要限制僅限貴組織存取，並允許對 Cloud Storage 資源提出讀取要求，請按照下列步驟操作：

身為 Google Cloud 管理員，如要取得組織 A 的 Google Cloud 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Google Cloud管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 A 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l
```
現在，機構 A 的員工可以存取其 Google Cloud 機構，並具備 Cloud Storage 資源的讀取權限。

允許員工存取供應商 Google Cloud 組織

在這個範例中，機構 B 的 Google Cloud 管理員和輸出 Proxy 管理員共同合作，允許員工除了現有的 Google Cloud 機構外，還能存取供應商 Google Cloud 機構。

如要限制員工只能存取貴組織和供應商組織，請按照下列步驟操作：

Google Cloud 管理員應與供應商聯絡，取得供應商組織的 Google Cloud組織 ID。
如要以輸出 Proxy 管理員的身分，在現有組織 ID 之外加入供應商組織 ID，您必須更新標頭值的 JSON 表示法。從 Google Cloud管理員取得供應商組織 ID 後，請以下列格式更新標頭值：
```
 {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
輸出 Proxy 系統管理員應設定輸出 Proxy，在機構 B 受管理裝置發出的所有要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K
```
組織 B 的員工現在可以存取供應商和自己的 Google Cloud 組織。

僅限制上傳內容的存取權

在這個範例中， Google Cloud 管理員和 C 機構的輸出 Proxy 管理員共同合作，限制員工只能將資源上傳至Google Cloud 機構。

如要限制上傳權限，僅允許貴組織上傳，請按照下列步驟操作：

如要以 Google Cloud 管理員身分取得組織 C 的 Google Cloud 組織 ID，請使用 gcloud organizations list 指令：
```
    gcloud organizations list
```
輸出範例如下：
```
    DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4
```
輸出 Proxy 管理員向 Google Cloud管理員取得組織 ID 後，請按照下列格式，為標頭值編寫 JSON 表示法：
```
 {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }
```
如果您是輸出 Proxy 管理員，請按照 RFC 4648 第 5 節規格，為要求標頭的值編碼。

舉例來說，如果標頭值的 JSON 表示法儲存在 authorized_orgs.json 檔案中，請執行下列 basenc 指令，對檔案進行編碼：
```
 $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```
輸出 Proxy 系統管理員應設定輸出 Proxy，只在機構 C 受管理裝置發出的 PUT、POST 和 PATCH 方法要求中，插入下列要求標頭：
```
 X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo
```

後續步驟

瞭解組織權限限制支援的服務。

機構限制範例 透過集合功能整理內容 你可以依據偏好儲存及分類內容。