如何通过GCP自定义策略限制特定VM类型及存储大小？

一、限定可创建的特定VM实例类型 #

仅靠自定义角色无法实现资源类型限制，因为自定义角色只控制用户能执行的操作（如创建、更新），要限定实例类型，需给自定义角色添加IAM条件，通过匹配实例的机器类型属性过滤：

• 编辑自定义角色时，在对应权限（如compute.instances.create）的条件设置中，写入规则匹配允许的实例类型，比如仅允许n1-standard-1：

  resource.properties.machineType == "zones/[你的可用区]/machineTypes/n1-standard-1"
  

• 若要跨区域匹配同类型实例，可使用通配符：

  resource.properties.machineType.matches("zones/.+/machineTypes/n1-standard-1")
  

二、限制存储大小仅允许10GB #

针对云硬盘或创建VM时附带的磁盘，同样通过IAM条件实现大小限制：

• 针对独立云硬盘创建，条件规则匹配磁盘大小属性：

  resource.properties.sizeGb == 10
  

• 针对创建VM时初始化的磁盘，通过VM资源的磁盘属性匹配：

  resource.properties.disks[0].initializeParams.diskSizeGb == 10
  

核心说明 #

自定义角色仅管控操作权限范围，要实现资源属性的精准限制，必须结合IAM条件语句，通过匹配GCP资源的具体属性字段，才能达成“仅允许创建特定规格资源”的需求。

内容的提问来源于stack exchange，提问作者Asif Khalil