GCP组织策略restrictVpcPeering如何放行GKE共享VPC官方对等连接

问题解答 #

关于Google GKE相关资源的固定organization_id

Google管理的GKE服务端子网所属项目为Google内部运营的区域级专属项目，无公开的固定organization_id可用于组织策略匹配，且项目ID后缀为随机生成的字符，无法通过固定路径直接放行。

可行的实现方案

• 方案1：使用带CEL条件的组织策略规则（最推荐）
  constraints/compute.restrictVpcPeering支持为规则附加CEL表达式条件，你可以通过正则匹配对端网络的路径格式，精准放行GKE所需的对等连接，示例条件如下：

  peering.network.matches('^projects/gke-prod-europe-west3-[a-z0-9]+/global/networks/gke-nda.*')
  

  你可以根据实际使用的区域调整正则匹配规则，相比固定列表配置更灵活，也不会放宽过多安全约束。

• 方案2：共享VPC宿主项目单独配置策略
  你可以保留组织层级的全拒绝规则，仅在共享VPC的宿主项目层级配置单独的constraints/compute.restrictVpcPeering策略，允许GKE相关的对等连接。如果宿主项目数量少，也可以手动收集集群创建时生成的GKE服务端网络路径，逐一添加到允许列表中。

• 方案3：使用约束的标签匹配豁免规则
  如果你所有的GKE集群都会打统一的标签，可以为组织策略配置条件，当对等连接发起的资源带有对应标签时自动放行对应规则。

注：under:语法本身确实不支持通配符匹配，仅支持完整的资源层级路径匹配，所以无法直接适配随机后缀的GKE项目场景。

内容的提问来源于stack exchange，提问作者SoftFuge