GCP Organization Policies

Définition

Les GCP Organization Policies sont des contraintes centralisées appliquées à la hiérarchie de ressources Google Cloud (Organization, Folder, Project) pour empêcher des configurations non conformes ou dangereuses, indépendamment des permissions IAM. Elles constituent les guardrails préventifs de la gouvernance GCP, équivalents des SCPs AWS ou des Azure Policy Deny. Une Organization Policy définit une contrainte (Constraint) qui limite la configuration autorisée d'une ressource GCP. Google fournit 100+ contraintes prédéfinies couvrant : les services GCP autorisés, les régions autorisées, les méthodes d'authentification, les configurations réseau, et bien d'autres paramètres. Les Custom Constraints (en preview avancé) permettent de définir des contraintes spécifiques basées sur les propriétés des ressources. Les contraintes de sécurité critiques incluent : constraints/compute.requireOsLogin (forcer OS Login pour SSH aux VMs, désactivant les clés SSH statiques), constraints/compute.vmExternalIpAccess (interdire les IPs publiques sur les instances Compute Engine), constraints/storage.publicAccessPrevention (interdire les accès publics aux buckets Cloud Storage), constraints/iam.disableServiceAccountKeyCreation (interdire la création de clés JSON pour les Service Accounts — promouvoir Workload Identity Federation), et constraints/gcp.resourceLocations (restreindre les régions autorisées). Les policies peuvent avoir trois types de valeurs : AllowAll (comportement par défaut), DenyAll, ou Defined Values (liste de valeurs autorisées ou interdites). La politique d'une ressource parent est héritée par toutes les ressources enfant, avec possibilité d'override au niveau inférieur si la constraint le permet. La gestion des Organization Policies via Terraform (resource google_org_policy_policy) permet de versionner et d'automatiser le déploiement des guardrails dans une approche Policy as Code, intégrable dans un pipeline CI/CD avec des tests de validation.