ワークロードのリソース使用量を制限する

このページでは、Assured Workloads フォルダで非準拠のリソースの制限を有効または無効にする方法について説明します。デフォルトでは、各フォルダのコントロール パッケージによって、サポートされているプロダクトが決定され、使用できるリソースが決まります。この機能は、フォルダの作成時に自動的に適用される gcp.restrictServiceUsage 組織のポリシーの制約によって適用されます。

準備

必要な IAM のロール

リソース使用制限を変更するには、より広範な権限セットを含む事前定義ロール、または必要最小限の権限に制限されたカスタムロールのいずれかを使用して、呼び出し元に Identity and Access Management（IAM）権限を付与する必要があります。

ターゲット ワークロードに対して、次の権限が必要です。

• assuredworkloads.workload.update
• orgpolicy.policy.set

これらの権限は、次の 2 個のロールに含まれています。

• Assured Workloads 管理者（roles/assuredworkloads.admin）
• Assured Workloads 編集者（roles/assuredworkloads.editor）

Assured Workloads のロールの詳細については、IAM ロールをご覧ください。

リソース使用量の制限を有効にする

ワークロードのリソース使用量の制限を有効にするには、次のコマンドを実行します。このコマンドは、コントロール パッケージでサポートされているサービスに従って、Assured Workloads フォルダに制限を適用します。

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

次のプレースホルダ値を独自の値に置き換えます。

• TOKEN: リクエストの認証トークン（例: ya29.a0AfB_byDnQW7A2Vr5...tanw0427）。

  環境に Google Cloud SDK がインストールされていて認証されている場合は、gcloud auth print-access-token コマンドを使用できます。-H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

• SERVICE_ENDPOINT: 目的のサービス エンドポイント（例: https://us-central1-assuredworkloads.googleapis.com）。

• ORGANIZATION_ID: Google Cloud 組織の一意の識別子（例: 12321311）。

• WORKLOAD_LOCATION: ワークロードのロケーション（例: us-central1）

• WORKLOAD_ID: ワークロードの一意の ID（例: 00-c25febb1-f3c1-4f19-8965-a25）。

プレースホルダ値を置き換えると、リクエストは次の例のようになります。

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

成功すると、レスポンスは空になります。

リソース使用量の制限を無効にする

ワークロードのリソース使用量の制限を無効にするには、次のコマンドを実行します。このコマンドは、Assured Workloads フォルダに対するサービスとリソースの制限をすべて削除します。

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

次のプレースホルダ値を独自の値に置き換えます。

• TOKEN: リクエストの認証トークン（例: ya29.a0AfB_byDnQW7A2Vr5...tanw0427）。

  環境に Google Cloud SDK がインストールされていて認証されている場合は、gcloud auth print-access-token コマンドを使用できます。-H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

• SERVICE_ENDPOINT: 目的のサービス エンドポイント（例: https://us-central1-assuredworkloads.googleapis.com）。

• ORGANIZATION_ID: Google Cloud 組織の一意の識別子（例: 12321311）。

• WORKLOAD_LOCATION: ワークロードのロケーション（例: us-central1）

• WORKLOAD_ID: ワークロードの一意の ID（例: 00-c25febb1-f3c1-4f19-8965-a25）。

プレースホルダ値を置き換えると、リクエストは次の例のようになります。

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

成功すると、レスポンスは空になります。

サポートされているプロダクトとサポートされていないプロダクト

このセクションの表に、さまざまなコントロール パッケージでサポートされているプロダクトとサポートされていないプロダクトを示します。デフォルトのリソース使用制限を有効にすると、サポートされているプロダクトのみを使用できます。リソース使用量の制限を無効にすると、サポートされているプロダクトとサポートされていないプロダクトの両方を使用できます。

FedRAMP Moderate

FedRAMP High

刑事司法情報サービス（CJIS）

影響レベル 4（IL4）

米国リージョンとサポート

Service エンドポイント

このセクションでは、リソース使用量の制限を有効にした後にブロックされない API エンドポイントについて説明します。

次のステップ

• リソース使用量の制限をサポートしていないサービスのリストをご覧ください。
• 各コントロール パッケージでサポートされているプロダクトを確認する。