Benutzerdefinierte Organisationsrichtlinien verwenden

Google Cloud Mit Organisationsrichtlinien können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Einschränkungen, die fürGoogle Cloud -Ressourcen und untergeordnete Elemente dieser Ressourcen in der Google Cloud -Ressourcenhierarchie gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet vordefinierte Einschränkungen für verschiedeneGoogle Cloud -Dienste. Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien eingeschränkt werden, können Sie auch benutzerdefinierte Organisationsrichtlinien erstellen.

Vorteile

• Sicherheit, Compliance und Governance: Sie können benutzerdefinierte Organisationsrichtlinien so verwenden:
  • Zur Durchsetzung von Sicherheitsanforderungen können Sie die Verwendung von vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) erzwingen.
  • Sie können jedes Feld einschränken, das beim Erstellen oder Aktualisieren eines Repositorys übergeben wird.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Evaluierung der Hierarchie.

Preise

Der Organisationsrichtliniendienst, einschließlich vordefinierter und benutzerdefinierter Organisationsrichtlinien, wird kostenlos angeboten.

Hinweise

1. Aktivieren Sie Artifact Registry und installieren Sie die Google Cloud CLI.
2. (Optional) Standardeinstellungen für gcloud CLI-Befehle konfigurieren.
3. Wenn Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) zum Verschlüsseln von Repository-Inhalten benötigen, erstellen und aktivieren Sie einen Schlüssel in Cloud KMS für das Repository.
4. Sie müssen Ihre Organisations-ID kennen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisationsressource
• So testen Sie Ihre Organisationsrichtlinie: Artifact Registry-Administrator (roles/artifactregistry.admin) für die Organisationsressource

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Einschränkung erstellen

Eine benutzerdefinierte Einschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Einschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Einschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Einschränkungen erstellen und verwalten.

Artifact Registry unterstützt benutzerdefinierte Einschränkungen, die auf die Methoden CREATE und UPDATE der Ressource REPOSITORY angewendet werden.

Erstellen Sie eine YAML-Datei für eine benutzerdefinierte Einschränkung, die in etwa so aussieht:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- artifactregistry.googleapis.com/Repository
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Einschränkung verwenden möchten. Eine benutzerdefinierte Einschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten, zum Beispiel custom.enableDockerRemotes. Die maximale Länge dieses Feldes beträgt 70 Zeichen, das Präfix wird nicht gezählt (z. B. organizations/123456789/customConstraints/custom.enableDockerRemotes).

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen, z. B. (resource.mode == 'REMOTE' && resource.format == 'DOCKER') || (resource.mode != 'REMOTE').

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Dies kann entweder ALLOW oder DENY sein.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Einschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Einschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird Dieses Feld hat eine maximale Länge von 2.000 Zeichen, z. B. All remote repositories must be Docker format..

Weitere Informationen zum Erstellen einer benutzerdefinierten Einschränkung finden Sie unter Benutzerdefinierte Einschränkungen definieren.

Benutzerdefinierte Einschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Benutzerdefinierte Organisationsrichtlinie testen

Im folgenden Beispiel für das Erstellen eines Remote-Repositorys wird davon ausgegangen, dass eine benutzerdefinierte Organisationsrichtlinie erstellt und beim Erstellen des Repositorys erzwungen wurde, um nur das Erstellen von Remote-Repositorys im Docker-Format zuzulassen.

Versuchen Sie, im Projekt ein Python-Remote-Repository zu erstellen:

  gcloud artifacts repositories create REMOTE-REPOSITORY-NAME \
      --project=PROJECT_ID \
      --repository-format=python \
      --location=LOCATION \
      --description="DESCRIPTION" \
      --mode=remote-repository \
      --remote-repo-config-desc="REMOTE-REPOSITORY-DESCRIPTION" \
      --disable-vulnerability-scanning \
      --remote-python-repo=UPSTREAM

Optionale Flags für die Authentifizierung beim Upstream-Repository:

• --remote-username=USERNAME

• --remote-password-secret-version=SECRET_VERSION

  Ersetzen Sie Folgendes:

• REMOTE-REPOSITORY-NAME durch den Namen des Repositorys. Repository-Namen können für jeden Repository-Speicherort in einem Projekt nur einmal vorkommen.

• PROJECT_ID durch die Projekt-ID. Wenn dieses Flag nicht angegeben ist, wird das aktuelle Projekt oder das Standardprojekt verwendet.

• LOCATION durch den regionalen oder multiregionalen Standort für das Repository. Sie können dieses Flag weglassen, wenn Sie einen Standard-Speicherort festgelegt haben. Führen Sie den Befehl gcloud artifacts locations list aus, um eine Liste der unterstützten Speicherorte aufzurufen.

• DESCRIPTION mit einer optionalen Beschreibung des Repositorys. Geben Sie keine vertraulichen Daten an, da Repository-Beschreibungen nicht verschlüsselt werden.

• REMOTE-REPOSITORY-DESCRIPTION mit einer Beschreibung für die Konfiguration des externen Repositorys für dieses Remote-Repository.

• USERNAME – optional, wenn Sie die Authentifizierung verwenden, mit Ihrem Nutzernamen für die Authentifizierung beim Upstream-Repository.

• SECRET_VERSION (optional, wenn Sie die Authentifizierung verwenden) mit der Secret-Version, die das Passwort für Ihr Upstream-Repository enthält.

• UPSTREAM durch den voreingestellten Upstream-Namen, den Artifact Registry-Repositorypfad oder die benutzerdefinierte URL des Upstream-Repositorys.
  
  Für Artifact Registry-Upstream-Repositories formatieren Sie den Repository-Pfad so: projects/UPSTREAM_PROJECT_ID/locations/REGION/repositories/UPSTREAM_REPOSITORY.
  
  Informationen zu den verfügbaren voreingestellten Upstreams und den unterstützten benutzerdefinierten Upstreams finden Sie unter Unterstützte Formate.

• --disable-vulnerability-scanning: ist ein optionales Flag, mit dem Sie das automatische Scannen auf Sicherheitslücken für Ihr Repository deaktivieren können.

• --allow-vulnerability-scanning: ist ein optionales Flag, das Ihr Repository so konfiguriert, dass das automatische Scannen auf Sicherheitslücken zulässig ist. Weitere Informationen finden Sie unter Automatisches Scannen aktivieren oder deaktivieren.

  Mit dem folgenden Befehl wird beispielsweise ein Remote-Repository namens my-repo in der Region us-east1 im Projekt Google Cloud my-project erstellt. Die Authentifizierung beim Upstream-Repository kann mit dem Nutzernamen my-username und der Secret-Version projects/my-project/secrets/my-secret/versions/1 erfolgen.

  gcloud artifacts repositories create my-repo \
      --project=my-project \
      --repository-format=python \
      --location=us-east1 \
      --description="Remote Python repository" \
      --mode=remote-repository \
      --remote-repo-config-desc="PyPI" \
      --remote-username=my-username \
      --remote-password-secret-version=projects/my-project/secrets/my-secret/versions/1 \
      --remote-python-repo=PYPI
  

Die Ausgabe sieht so aus:

Operation denied by custom org policies: ["customConstraints/custom.enableDockerRemotes": "All remote repositories must be Docker format."]

Unterstützte Artifact Registry-Ressourcen

Artifact Registry unterstützt benutzerdefinierte Einschränkungen für alle Felder mit Ausnahme von labels für Erstellungs- und Aktualisierungsvorgänge für die repository-Ressource.

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie die Syntax einiger benutzerdefinierter Organisationsrichtlinien, die für Sie nützlich sein könnten:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableRemotes
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.mode in ['STANDARD', 'VIRTUAL']"
    actionType: ALLOW
    displayName: Disable remote repository creation
    description: All repositories must be standard or virtual mode.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.format == 'DOCKER' && !resource.dockerConfig.immutableTags"
    actionType: DENY
    displayName: Enforce tag immutability
    description: All new Docker repositories must have tag immutability enabled.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.kmsKeyName.contains('projects/my-project/')"
    actionType: ALLOW
    displayName: Enforce the use of a CMEK key from my-project
    description: All repositories must be created with a CMEK key from my-project.

Nächste Schritte

• Weitere Informationen zu Organisationsrichtlinien finden Sie unter Einführung in den Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten
• Eine vollständige Liste der vordefinierten Einschränkungen für Organisationsrichtlinien finden Sie hier.