Utilizzare i criteri dell'organizzazione personalizzati

La policy dell'organizzazioneGoogle Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore della policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un set di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.

La policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare policy dell'organizzazione personalizzate.

Vantaggi

• Sicurezza, conformità e governance: puoi utilizzare le policy dell'organizzazione personalizzate nel seguente modo:
  • Per applicare i requisiti di sicurezza, puoi applicare l'utilizzo delle chiavi di crittografia gestite dal cliente (CMEK).
  • Puoi limitare qualsiasi campo passato quando crei o aggiorni un repository.

Ereditarietà delle policy

Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Prezzi

Il servizio relativo alle policy dell'organizzazione, incluse le policy predefinite e personalizzate, viene fornito senza costi aggiuntivi.

Prima di iniziare

1. Abilita Artifact Registry e installa Google Cloud CLI.
2. (Facoltativo) Configura le impostazioni predefinite per i comandi gcloud CLI.
3. Se hai bisogno di chiavi di crittografia gestite dal cliente (CMEK) per criptare i contenuti del repository, crea e attiva una chiave in Cloud KMS per il repository.
4. Assicurati di conoscere il tuo ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:

• Amministratore delle policy dell'organizzazione (roles/orgpolicy.policyAdmin) nella risorsa dell'organizzazione
• Per testare la policy dell'organizzazione: Amministratore di Artifact Registry (roles/artifactregistry.admin) nella risorsa dell'organizzazione

Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le policy dell'organizzazione. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Crea un vincolo personalizzato

Un vincolo personalizzato è definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio a cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando il Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.

Artifact Registry supporta i vincoli personalizzati applicati ai metodi CREATE e UPDATE della risorsa REPOSITORY.

Crea un file YAML per un vincolo personalizzato simile al seguente:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- artifactregistry.googleapis.com/Repository
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.enableDockerRemotes. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.enableDockerRemotes.

• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili in base a cui scrivere condizioni, ad esempio (resource.mode == 'REMOTE' && resource.format == 'DOCKER') || (resource.mode != 'REMOTE'), consulta la sezione Risorse supportate.

• ACTION: l'azione da eseguire se condition è soddisfatta. Può essere ALLOW o DENY.

• DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri, ad esempio All remote repositories must be Docker format.

Per saperne di più su come creare un vincolo personalizzato, consulta Definizione di vincoli personalizzati.

Configura un vincolo personalizzato

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Applicare una policy dell'organizzazione personalizzata

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Testa il criterio dell'organizzazione personalizzato

Il seguente esempio di creazione di un repository remoto presuppone che sia stata creata e applicata una policy dell'organizzazione personalizzata alla creazione del repository per consentire solo la creazione di repository remoti in formato Docker.

Prova a creare un repository remoto Python nel progetto:

  gcloud artifacts repositories create REMOTE-REPOSITORY-NAME \
      --project=PROJECT_ID \
      --repository-format=python \
      --location=LOCATION \
      --description="DESCRIPTION" \
      --mode=remote-repository \
      --remote-repo-config-desc="REMOTE-REPOSITORY-DESCRIPTION" \
      --disable-vulnerability-scanning \
      --remote-python-repo=UPSTREAM

Flag facoltativi per l'autenticazione nel repository upstream:

• --remote-username=USERNAME

• --remote-password-secret-version=SECRET_VERSION

  Sostituisci quanto segue:

• REMOTE-REPOSITORY-NAME con il nome del repository. Per ogni posizione del repository in un progetto, i nomi dei repository devono essere univoci.

• PROJECT_ID con l'ID progetto. Se questo flag viene omesso, viene utilizzato il progetto corrente o predefinito.

• LOCATION con la località regionale o multiregionale per il repository. Puoi omettere questo flag se imposti un valore predefinito. Per visualizzare un elenco delle località supportate, esegui il comando gcloud artifacts locations list.

• DESCRIPTION con una descrizione facoltativa del repository. Non includere dati sensibili, poiché le descrizioni dei repository non sono criptate.

• REMOTE-REPOSITORY-DESCRIPTION con una descrizione della configurazione del repository esterno per questo repository remoto.

• USERNAME facoltativamente, se utilizzi l'autenticazione, con il tuo nome utente per l'autenticazione al repository upstream.

• SECRET_VERSION facoltativamente, se utilizzi l'autenticazione, con la versione del secret contenente la password del repository upstream.

• UPSTREAM con il nome upstream preimpostato, il percorso del repository Artifact Registry o l'URL definito dall'utente del repository upstream.
  
  Per i repository upstream di Artifact Registry, formatta il percorso del repository in modo simile al seguente: projects/UPSTREAM_PROJECT_ID/locations/REGION/repositories/UPSTREAM_REPOSITORY.
  
  Per informazioni sugli upstream preimpostati disponibili e sugli upstream definiti dall'utente supportati, consulta la sezione Formati supportati.

• --disable-vulnerability-scanning: è un flag facoltativo che configura il repository per disattivare l'analisi automatica delle vulnerabilità.

• --allow-vulnerability-scanning: è un flag facoltativo che configura il repository per consentire l'analisi automatica delle vulnerabilità. Per ulteriori informazioni, vedi Attivare o disattivare la scansione automatica.

  Ad esempio, il seguente comando crea un repository remoto denominato my-repo nella regione us-east1 nel progetto Google Cloud my-project e può autenticarsi nel repository upstream utilizzando il nome utente my-username e la versione del secret projects/my-project/secrets/my-secret/versions/1.

  gcloud artifacts repositories create my-repo \
      --project=my-project \
      --repository-format=python \
      --location=us-east1 \
      --description="Remote Python repository" \
      --mode=remote-repository \
      --remote-repo-config-desc="PyPI" \
      --remote-username=my-username \
      --remote-password-secret-version=projects/my-project/secrets/my-secret/versions/1 \
      --remote-python-repo=PYPI
  

L'output è il seguente:

Operation denied by custom org policies: ["customConstraints/custom.enableDockerRemotes": "All remote repositories must be Docker format."]

Risorse supportate da Artifact Registry

Artifact Registry supporta i vincoli personalizzati, su tutti i campi tranne labels, per le operazioni di creazione e aggiornamento della risorsa repository.

Esempi di norme personalizzate dell'organizzazione per casi d'uso comuni

La seguente tabella fornisce la sintassi di alcune policy dell'organizzazione personalizzate che potresti trovare utili:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableRemotes
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.mode in ['STANDARD', 'VIRTUAL']"
    actionType: ALLOW
    displayName: Disable remote repository creation
    description: All repositories must be standard or virtual mode.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.format == 'DOCKER' && !resource.dockerConfig.immutableTags"
    actionType: DENY
    displayName: Enforce tag immutability
    description: All new Docker repositories must have tag immutability enabled.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.kmsKeyName.contains('projects/my-project/')"
    actionType: ALLOW
    displayName: Enforce the use of a CMEK key from my-project
    description: All repositories must be created with a CMEK key from my-project.

Passaggi successivi

• Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione.
• Scopri di più su come creare e gestire le policy dell'organizzazione.
• Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.