用途：通过 GCP Organization Policy Service 在组织、文件夹或项目层级集中、程序化地限制 Google Cloud 服务，提升安全与合规性。策略变更最长约 15 分钟生效。
主要能力：支持列表约束（允许或拒绝特定值，如允许区域）、布尔约束（启用或禁用某能力）和自定义约束（针对特定资源字段的用户自定义规则，预览版）。策略按最近已强制执行的祖先继承，若无祖先策略则采用 Google 默认行为。
常用约束示例：compute.vmExternalIpAccess 拒绝外部 IP；gcp.resourceLocations 限制区域；iam.automaticIamGrantsForDefaultServiceAccounts 禁用默认服务账号自动授权；compute.requireOsLogin 强制 OS Login；compute.disableSerialPortAccess 禁用串口；storage.uniformBucketLevelAccess 强制统一存储桶级访问；sql.restrictPublicIp 限制 Cloud SQL 公网 IP；iam.disableServiceAccountKeyCreation 禁用服务账号密钥创建。
使用方式：需具备组织管理员、Organization Policy Administrator（roles/orgpolicy.policyAdmin）角色，并配置好 gcloud CLI 或 Terraform。可用 gcloud org-policies set-policy 配合 YAML 文件设置策略，或用 google_organization_policy、google_folder_organization_policy 等 Terraform 资源声明。支持 dryRunSpec 试运行以评估影响，并用 gcloud org-policies list、describe 及 Cloud Asset Inventory 的 gcloud asset search-all-resources 审计违规。自定义约束通过 gcloud org-policies set-custom-constraint 部署。
适用场景：部署或配置组织策略约束、建立符合合规要求的安全控制、构建或改进该领域安全架构、开展需要此实现的安全评估。
限制：自定义约束为预览版；策略传播最长约 15 分钟；需相应组织级权限；具体价格、平台支持范围等资料暂未提供。