Use políticas da organização personalizadas

Google Cloud A política da organização dá-lhe um controlo centralizado e programático sobre os recursos da sua organização. Enquanto administrador de políticas da organização, pode definir uma política da organização, que é um conjunto de restrições denominadas limitações que se aplicam aGoogle Cloud recursos e descendentes desses recursos na Google Cloud hierarquia de recursos. Pode aplicar políticas da organização ao nível da organização, da pasta ou do projeto.

A política da organização oferece restrições predefinidas para vários Google Cloud serviços. No entanto, se quiser um controlo mais detalhado e personalizável sobre os campos específicos que estão restritos nas políticas da sua organização, também pode criar políticas da organização personalizadas.

Vantagens

• Segurança, conformidade e governação: pode usar políticas da organização personalizadas da seguinte forma:
  • Para aplicar requisitos de segurança, pode aplicar a utilização de chaves de encriptação geridas pelo cliente (CMEK).
  • Pode restringir qualquer campo transmitido quando cria ou atualiza um repositório.

Herança de políticas

Por predefinição, as políticas da organização são herdadas pelos descendentes dos recursos nos quais aplica a política. Por exemplo, se aplicar uma política a uma pasta, Google Cloud aplica a política a todos os projetos na pasta. Para saber mais acerca deste comportamento e como o alterar, consulte as regras de avaliação da hierarquia.

Preços

O serviço de políticas de organização, incluindo políticas de organização predefinidas e personalizadas, é oferecido sem custo financeiro.

Antes de começar

1. Ative o Artifact Registry e instale a CLI gcloud.
2. (Opcional) Configure as predefinições para os comandos da CLI gcloud.
3. Se precisar de chaves de encriptação geridas pelo cliente (CMEK) para encriptar o conteúdo do repositório, crie e ative uma chave no Cloud KMS para o repositório.
4. Certifique-se de que sabe o seu ID da organização.

Funções necessárias

Para receber as autorizações de que precisa para gerir políticas de organização, peça ao seu administrador que lhe conceda as seguintes funções do IAM:

• Administrador de políticas da organização (roles/orgpolicy.policyAdmin) no recurso da organização
• Para testar a política da organização: Administrador do Artifact Registry (roles/artifactregistry.admin) no recurso da organização

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para gerir as políticas da organização. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Crie uma restrição personalizada

Uma restrição personalizada é definida num ficheiro YAML pelos recursos, métodos, condições e ações suportados pelo serviço no qual está a aplicar a política da organização. As condições para as restrições personalizadas são definidas através do Idioma de expressão comum (IEC). Para mais informações sobre como criar condições em restrições personalizadas através da CEL, consulte a secção CEL do artigo Criar e gerir restrições personalizadas.

O Artifact Registry suporta restrições personalizadas que são aplicadas aos métodos CREATE e UPDATE do recurso REPOSITORY.

Crie um ficheiro YAML para uma restrição personalizada semelhante ao seguinte:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- artifactregistry.googleapis.com/Repository
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Substitua o seguinte:

• ORGANIZATION_ID: o ID da sua organização, como 123456789.

• CONSTRAINT_NAME: o nome que quer para a nova restrição personalizada. Uma restrição personalizada tem de começar com custom. e só pode incluir letras maiúsculas, letras minúsculas ou números. Por exemplo, custom.enableDockerRemotes. O comprimento máximo deste campo é de 70 carateres, sem contar com o prefixo. Por exemplo, organizations/123456789/customConstraints/custom.enableDockerRemotes.

• CONDITION: uma condição CEL escrita em função de uma representação de um recurso de serviço suportado. Este campo tem um comprimento máximo de 1000 carateres. Consulte o artigo Recursos suportados para mais informações acerca dos recursos disponíveis para escrever condições, por exemplo, (resource.mode == 'REMOTE' && resource.format == 'DOCKER') || (resource.mode != 'REMOTE').

• ACTION: a ação a tomar se a condição condition for cumprida. Pode ser ALLOW ou DENY.

• DISPLAY_NAME: um nome simples para a restrição. Este campo tem um comprimento máximo de 200 carateres.

• DESCRIPTION: uma descrição acessível da restrição a apresentar como uma mensagem de erro quando a política é violada. Este campo tem um comprimento máximo de 2000 carateres. Por exemplo, All remote repositories must be Docker format.

Para mais informações sobre como criar uma restrição personalizada, consulte o artigo Definir restrições personalizadas.

Configure uma restrição personalizada

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Aplique uma política da organização personalizada

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Teste a política da organização personalizada

O exemplo de criação de repositório remoto seguinte pressupõe que foi criada e aplicada uma política de organização personalizada na criação de repositórios para permitir apenas a criação de repositórios remotos no formato Docker.

Experimente criar um repositório remoto Python no projeto:

  gcloud artifacts repositories create REMOTE-REPOSITORY-NAME \
      --project=PROJECT_ID \
      --repository-format=python \
      --location=LOCATION \
      --description="DESCRIPTION" \
      --mode=remote-repository \
      --remote-repo-config-desc="REMOTE-REPOSITORY-DESCRIPTION" \
      --disable-vulnerability-scanning \
      --remote-python-repo=UPSTREAM

Flags opcionais para autenticação no repositório a montante:

• --remote-username=USERNAME

• --remote-password-secret-version=SECRET_VERSION

  Substitua o seguinte:

• REMOTE-REPOSITORY-NAME com o nome do repositório. Para cada localização do repositório num projeto, os nomes dos repositórios têm de ser exclusivos.

• PROJECT_ID com o ID do projeto. Se esta flag for omitida, é usado o projeto atual ou predefinido.

• LOCATION com a localização regional ou multirregional do repositório. Pode omitir esta sinalização se definir uma predefinição. Para ver uma lista de localizações suportadas, execute o comando gcloud artifacts locations list.

• DESCRIPTION com uma descrição opcional do repositório. Não inclua dados confidenciais, uma vez que as descrições dos repositórios não são encriptadas.

• REMOTE-REPOSITORY-DESCRIPTION com uma descrição da configuração do repositório externo para este repositório remoto.

• USERNAME opcionalmente, se estiver a usar a autenticação, com o seu nome de utilizador para autenticar no repositório a montante.

• SECRET_VERSION opcionalmente, se estiver a usar a autenticação, com a versão secreta que contém a palavra-passe do repositório a montante.

• UPSTREAM com o nome a montante predefinido, o caminho do repositório do Artifact Registry ou o URL definido pelo utilizador do repositório a montante.
  
  Para repositórios upstream do Artifact Registry, formate o caminho do repositório de forma semelhante à seguinte: projects/UPSTREAM_PROJECT_ID/locations/REGION/repositories/UPSTREAM_REPOSITORY.
  
  Para informações sobre as origens de dados predefinidas disponíveis e as origens de dados definidas pelo utilizador suportadas, consulte o artigo Formatos suportados.

• --disable-vulnerability-scanning: é um sinalizador opcional que configura o seu repositório para desativar a análise de vulnerabilidades automática.

• --allow-vulnerability-scanning: é um sinalizador opcional que configura o seu repositório para permitir a análise de vulnerabilidades automática. Para mais informações, consulte o artigo Ative ou desative a análise automática.

  Por exemplo, o comando seguinte cria um repositório remoto denominado my-repo na região us-east1 no Google Cloud projeto my-project e pode autenticar-se no repositório a montante através do nome de utilizador my-username e da versão secreta projects/my-project/secrets/my-secret/versions/1.

  gcloud artifacts repositories create my-repo \
      --project=my-project \
      --repository-format=python \
      --location=us-east1 \
      --description="Remote Python repository" \
      --mode=remote-repository \
      --remote-repo-config-desc="PyPI" \
      --remote-username=my-username \
      --remote-password-secret-version=projects/my-project/secrets/my-secret/versions/1 \
      --remote-python-repo=PYPI
  

O resultado é o seguinte:

Operation denied by custom org policies: ["customConstraints/custom.enableDockerRemotes": "All remote repositories must be Docker format."]

Recursos suportados do Artifact Registry

O Artifact Registry suporta restrições personalizadas em todos os campos, exceto labels, para operações de criação e atualização no recurso repository.

Exemplos de políticas da organização personalizadas para exemplos de utilização comuns

A tabela seguinte apresenta a sintaxe de algumas políticas de organização personalizadas que pode considerar úteis:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableRemotes
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.mode in ['STANDARD', 'VIRTUAL']"
    actionType: ALLOW
    displayName: Disable remote repository creation
    description: All repositories must be standard or virtual mode.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.format == 'DOCKER' && !resource.dockerConfig.immutableTags"
    actionType: DENY
    displayName: Enforce tag immutability
    description: All new Docker repositories must have tag immutability enabled.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enableAutoUpgrade
    resourceTypes:
    - artifactregistry.googleapis.com/Repository
    methodTypes:
    - CREATE
    condition: "resource.kmsKeyName.contains('projects/my-project/')"
    actionType: ALLOW
    displayName: Enforce the use of a CMEK key from my-project
    description: All repositories must be created with a CMEK key from my-project.

O que se segue?

• Consulte o artigo Introdução ao serviço de políticas de organização para saber mais sobre as políticas de organização.
• Saiba como criar e gerir políticas da organização.
• Consulte a lista completa de restrições da política da organização predefinidas.