您的安全策略要求阻止在整个组织中创建具有外部 IPv4 地址的虚拟机，但一个安全项目除外。您应该配置哪个组织策略约束来强制执行此操作？

正确的答案是 constraints/compute.vmExternalIpAccess。此组织策略约束专门用于控制虚拟机是否可以拥有外部 IP 地址。通过在组织级别设置此约束并拒绝外部 IP 访问，您可以在整个组织中阻止创建具有外部 IPv4 地址的虚拟机。然后，您可以在允许的特定安全项目中覆盖此策略，以允许外部 IP 访问。 其他选项不正确： constraints/iam.allowedPolicyMemberDomains 限制哪些域中的成员可以被添加到 IAM 策略中，与虚拟机外部 IP 地址无关。 constraints/compute.restrictNetworkCreation 限制了用户创建网络的权限，而不是控制虚拟机外部 IP。 constraints/servicemanagement.disableServiceUsage 用于禁用某些 Google Cloud 服务的使用，与虚拟机外部 IP 地址无关。