Controla el acceso a las imágenes del SO de la VM para Batch

En esta página, se describe cómo configurar la restricción de política de imágenes confiables. Esto te permite controlar el acceso a las imágenes del sistema operativo (SO) que se pueden usar para crear los discos de arranque de cualquier instancia de máquina virtual (VM) de Compute Engine.

De forma predeterminada, un usuario puede usar cualquier imagen pública o cualquier imagen personalizada que se comparta con él para las VMs de Compute Engine que ejecutan sus trabajos por lotes. Si la restricción de la política de imágenes confiables no está habilitada y no deseas restringir las imágenes de SO de VM, puedes dejar de leer este documento.

Habilita la restricción de política de imágenes confiables si deseas exigir que todos los usuarios de un proyecto, una carpeta o una organización creen VMs que contengan software aprobado que cumpla con tus requisitos de seguridad o políticas. Si se habilita la restricción de la política de imágenes confiables, los usuarios afectados no podrán ejecutar trabajos por lotes, a menos que se permita la imagen de SO de la VM para su trabajo. Para crear y ejecutar trabajos cuando la restricción de política de imágenes confiables está habilitada, haz al menos una de las siguientes acciones:

  • Los usuarios deben especificar una imagen de SO de VM que ya esté permitida.
  • Permite las imágenes de SO de VM predeterminadas de Batch, como se muestra en este documento.

Para obtener más información sobre las imágenes de SO de VM y los discos de arranque, consulta la descripción general del entorno del SO de VM. Para saber qué restricciones de políticas se habilitaron para tu proyecto, carpeta u organización, consulta tus políticas de la organización.

Antes de comenzar

  1. Si nunca usaste Batch, revisa Cómo comenzar a usar Batch y habilita Batch completando los requisitos previos para proyectos y usuarios.

  2. Para obtener los permisos que necesitas para configurar las políticas de la organización, pídele a tu administrador que te otorgue el rol de IAM de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Permite imágenes de Batch

En los siguientes pasos, se describe cómo modificar la restricción de política de imágenes confiables para permitir todas las imágenes del SO de VM de Batch con la consola deGoogle Cloud o Google Cloud CLI.

Para obtener más instrucciones sobre cómo usar la restricción de política de imagen confiable (compute.trustedImageProjects), consulta Configura políticas de imágenes confiables en la documentación de Compute Engine.

Console

  1. Ir a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En la lista de políticas, haz clic en Definir proyectos de imágenes confiables.

    Se abrirá la página Detalles de la política.

  3. En la página Detalles de la política, haz clic en Administrar política. Se abrirá la página Editar política.

  4. En la página Editar política, selecciona Personalizar.

  5. En Aplicación de la política, selecciona una opción de aplicación.

  6. Haz clic en Agregar regla.

  7. En la lista Valores de política, puedes seleccionar si deseas agregar una regla que permita el acceso a todos los proyectos de imagen no especificados, que rechace el acceso a todos los proyectos de imagen no especificados o que especifique un conjunto personalizado de proyectos para permitir o rechazar el acceso. Para permitir todas las imágenes de Batch, haz lo siguiente:

    1. En la lista Valores de la política, selecciona Personalizado. Aparecerán los campos Tipo de política y Valores personalizados.
    2. En la lista Tipo de política, selecciona Permitir.
    3. En el campo Valores personalizados, ingresa projects/batch-custom-image.

  8. Para guardar la regla, haz clic en Listo.

  9. Para guardar y aplicar la política de la organización, haz clic en Guardar.

gcloud

En el siguiente ejemplo, se describe cómo permitir imágenes de Batch para un proyecto específico:

  1. Para obtener la configuración de políticas existente para un proyecto, ejecuta el comando resource-manager org-policies describe:

    gcloud resource-manager org-policies describe \
   compute.trustedImageProjects --project=PROJECT_ID \
   --effective > policy.yaml

    Reemplaza PROJECT_ID por el ID del proyecto que deseas actualizar.

  2. Abre el archivo policy.yaml en un editor de texto. Luego, modifica la restricción compute.trustedImageProjects agregando projects/batch-custom-image al campo allowedValues. Por ejemplo, para permitir solo imágenes de SO de VM de Batch, establece la restricción compute.trustedImageProjects de la siguiente manera:

    constraint: constraints/compute.trustedImageProjects
listPolicy:
 allowedValues:
    - projects//batch-custom-image

    Cuando termines de editar el archivo policy.yaml, guarda los cambios.

  3. Para aplicar el archivo policy.yaml a tu proyecto, usa el comando resource-manager org-policies set-policy:

    gcloud resource-manager org-policies set-policy \
   policy.yaml --project=PROJECT_ID

    Reemplaza PROJECT_ID por el ID del proyecto que deseas actualizar.

Cuando termines de actualizar las restricciones, se recomienda probarlas para verificar que funcionen según lo previsto.

¿Qué sigue?