Criar restrições de política da organização personalizadas

Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1

Nesta página, mostramos como usar restrições personalizadas do serviço de políticas da organização para restringir operações específicas nos seguintes recursos do Google Cloud :

  • composer.googleapis.com/Environment

Para saber mais sobre a política da organização, consulte Políticas da organização personalizadas.

Sobre políticas e restrições da organização

O Google Cloud Organization Policy Service oferece controle centralizado e programático sobre os recursos da sua organização. Como administrador de políticas da organização, é possível definir uma política da organização, que é um conjunto de limites chamado restrições que se aplicam aosGoogle Cloud recursos e aos descendentes deles na hierarquia de recursos doGoogle Cloud . É possível aplicar políticas da organização no nível da organização, da pasta ou para envolvidos no projeto.

A política da organização oferece restrições gerenciadas integradas para vários serviços do Google Cloud . No entanto, se você quiser um controle mais granular e personalizável sobre os campos específicos restritos nas suas políticas da organização, crie também restrições personalizadas e use-as em uma política da organização.

Herança de políticas

Por padrão, as políticas da organização são herdadas pelos descendentes dos recursos em que a política é aplicada. Por exemplo, se você aplicar uma política em uma pasta,o Google Cloud vai aplicar a política a todos os projetos da pasta. Para saber mais sobre esse comportamento e como alterá-lo, consulte Regras de avaliação de hierarquia.

Vantagens

É possível usar políticas personalizadas da organização para permitir ou negar valores específicos para recursos do Cloud Composer. Por exemplo, se uma solicitação para criar ou atualizar um ambiente do Cloud Composer não atender à validação de restrição personalizada definida pela política da organização, a solicitação vai falhar e um erro será retornado ao autor da chamada. Além disso, o uso de políticas da organização personalizadas:

  1. Melhora a segurança. Por exemplo, é possível definir políticas que proíbem a criação de ambientes de IPs públicos, ativam endereços IP públicos usados de maneira particular ou especificam o uso de uma rede e sub-rede específicas.

  2. Oferece controle granular sobre os recursos que estão sendo criados ou usados ao criar ou atualizar um ambiente.

Limitações

Como todas as restrições de política da organização, as mudanças não são aplicadas retroativamente às instâncias atuais.

  • Uma nova política não afeta as configurações de instância atuais.
  • Uma configuração de instância atual permanece válida, a menos que você a mude de um valor em conformidade para um valor não conforme usando o consoleGoogle Cloud , Google Cloud CLI ou a RPC.

Antes de aplicar políticas personalizadas da organização ao tipo de método UPDATE do recurso, verifique se os ambientes atuais estão em conformidade com cada política.

Como uma operação de atualização só pode atualizar um campo, um deadlock pode ocorrer se vários campos de um ambiente atual violarem as políticas ao mesmo tempo.

Para evitar o impasse, faça o seguinte:

  • (Recomendado) Faça com que todos os ambientes atuais obedeçam a uma política antes de aplicá-la aos recursos. Para verificar quais dos ambientes atuais não estarão em conformidade após a aplicação da política, use o Simulador de política.

  • Desative a aplicação da política, atualize os ambientes atuais para o estado em conformidade e aplique a política novamente.

Antes de começar

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command:

    gcloud init
  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  8. Make sure that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command:

    gcloud init
  12. Certifique-se de conhecer o ID da organização.
  13. Funções exigidas

    Para receber as permissões necessárias para gerenciar políticas personalizadas da organização, peça ao administrador para conceder a você o papel do IAM de Administrador de políticas da organização (roles/orgpolicy.policyAdmin) no recurso da organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

    Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

    Criar uma restrição personalizada

    Uma restrição personalizada é definida em um arquivo YAML pelos recursos, métodos, condições e ações compatíveis com o serviço em que você está aplicando a política da organização. As condições das restrições personalizadas são definidas usando a Common Expression Language (CEL). Para mais informações sobre como criar condições em restrições personalizadas usando a CEL, consulte a seção CEL de Como criar e gerenciar restrições personalizadas.

    Para criar uma restrição personalizada, crie um arquivo YAML usando o seguinte formato:

    name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
    resourceTypes:
    - RESOURCE_NAME
    methodTypes:
    - CREATE
    - UPDATE
    condition: "CONDITION"
    actionType: ACTION
    displayName: DISPLAY_NAME
    description: DESCRIPTION
    

    Substitua:

    • ORGANIZATION_ID: o ID da organização, como 123456789.

    • CONSTRAINT_NAME: o nome da sua nova restrição personalizada. Uma restrição personalizada precisa começar com custom. e só pode incluir letras maiúsculas, minúsculas ou números. Por exemplo, custom.restrictEnvironmentSize. O comprimento máximo desse campo é de 70 caracteres.

    • RESOURCE_NAME: o nome totalmente qualificado do recursoGoogle Cloud que contém o objeto e o campo que você quer restringir. Por exemplo, composer.googleapis.com/Environment.

    • CONDITION: uma condição de CEL gravada em uma representação de um recurso de serviço compatível. Esse campo tem um comprimento máximo de 1000 caracteres. Consulte Recursos compatíveis para mais informações sobre os recursos disponíveis para gravar condições. Por exemplo, resource.config.environmentSize == "ENVIRONMENT_SIZE_SMALL".

    • ACTION: a ação a ser realizada se o condition for atendido. Os valores possíveis são ALLOW e DENY.

    • DISPLAY_NAME: um nome legível para a restrição. Esse campo tem um comprimento máximo de 200 caracteres.

    • DESCRIPTION: uma descrição legível da restrição a ser exibida como uma mensagem de erro quando a política for violada. Esse campo tem um comprimento máximo de 2000 caracteres.

    Para mais informações sobre como criar uma restrição personalizada, consulte Como definir restrições personalizadas.

    Configurar uma restrição personalizada

    Depois de criar o arquivo YAML para uma nova restrição personalizada, configure-a para disponibilizá-la para as políticas da organização. Para configurar uma restrição personalizada, use o comando gcloud org-policies set-custom-constraint:
    gcloud org-policies set-custom-constraint CONSTRAINT_PATH
    Substitua CONSTRAINT_PATH pelo caminho completo do arquivo da restrição personalizada. Por exemplo, /home/user/customconstraint.yaml. Após a conclusão, as restrições personalizadas vão estar disponíveis como políticas da organização na sua lista de Google Cloud políticas da organização. Para verificar se a restrição personalizada existe, use o comando gcloud org-policies list-custom-constraints:
    gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
    Substitua ORGANIZATION_ID pelo ID do recurso da organização. Para mais informações, consulte Como visualizar as políticas da organização.

    Aplicar uma política da organização personalizada

    Para aplicar uma restrição, crie uma política da organização que faça referência a ela e aplique essa política a um recurso Google Cloud .

    Console

    1. No console Google Cloud , acesse a página Políticas da organização.

      Acessar as políticas da organização

    2. No seletor de projetos, selecione o projeto em que você quer definir a política da organização.
    3. Na lista da página Políticas da organização, selecione a restrição para acessar a página Detalhes da política dela.
    4. Para personalizar a política da organização nesse recurso, clique em Gerenciar política.
    5. Na página Editar política, selecione Substituir a política do editor principal.
    6. Clique em Adicionar uma regra.
    7. Na seção Aplicação, selecione se a aplicação dessa política da organização está ativada ou desativada.
    8. Opcional: para tornar a política da organização condicional em uma tag, clique em Adicionar condição. Se você adicionar uma regra condicional a uma política da organização, inclua pelo menos uma regra não condicional. Caso contrário, não será possível salvar a política. Para mais informações, consulte Como configurar uma política da organização com tags.
    9. Clique em Testar mudanças para simular o efeito da política da organização. A simulação de política não está disponível para restrições gerenciadas legadas. Para mais informações, consulte Testar mudanças na política da organização com o Simulador de política.
    10. Para concluir e aplicar a política da organização, clique em Definir política. A política levará até 15 minutos para entrar em vigor.

    gcloud

    Para criar uma política da organização com regras booleanas, crie um arquivo YAML da política que faça referência à restrição:

          name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
          spec:
            rules:
            - enforce: true
        

    Substitua:

    • PROJECT_ID: o projeto em que você quer aplicar a restrição.
    • CONSTRAINT_NAME: o nome definido para a restrição personalizada. Por exemplo, custom.restrictEnvironmentSize.

    Para aplicar a política da organização que contém a restrição, execute o seguinte comando:

        gcloud org-policies set-policy POLICY_PATH
        

    Substitua POLICY_PATH pelo caminho completo do arquivo YAML da política da organização. A política leva até 15 minutos para entrar em vigor.

    Testar a política personalizada da organização

    O exemplo a seguir cria uma restrição e política personalizada que permite apenas ambientes pequenos do Cloud Composer.

    Antes de começar, você precisa saber o seguinte:

    • O código da sua organização.
    • o código do projeto

    Crie a restrição.

    1. Salve o seguinte arquivo como constraint-require-only-small-environments.yaml:

      name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictEnvironmentSize
      resourceTypes:
      - composer.googleapis.com/Environment
      methodTypes:
      - CREATE
      condition: resource.config.environmentSize == "ENVIRONMENT_SIZE_SMALL"
      actionType: ALLOW
      displayName: Only allow small Composer environments.
      description: All environments must be small.
      
    2. Aplique a restrição:

      gcloud org-policies set-custom-constraint constraint-require-only-small-environments.yaml
      

    Crie a política

    1. Salve o seguinte arquivo como policy-require-only-small-environments.yaml:

      name: projects/PROJECT_ID/policies/custom.restrictEnvironmentSize
      spec:
        rules:
        - enforce: true
      
    2. Aplique a política:

      
      gcloud org-policies set-policy policy-require-only-small-environments.yaml
      
      

    Depois de aplicar a política, aguarde cerca de dois minutos para que o Google Cloud comece a aplicar a política.

    Testar a política

    gcloud composer environments create ENVIRONMENT_NAME \
      --location=LOCATION \
      --image-version="composer-3-airflow-2.10.5-build.9" \
      --environment-size=medium
    

    Essa criação de ambiente falha devido à restrição que exige apenas um ambiente pequeno do Composer.

    O resultado será assim:

    You can't perform this action on a Composer environment due to Custom Organization Policy constraints set on your project. The following constraint(s) were violated: ["customConstraints/custom.restrictEnvironmentSize": All environments must be small.]
    

    Para resolver o erro anterior, crie um ambiente pequeno. Exemplo:

    gcloud composer environments create ENVIRONMENT_NAME \
      --location=LOCATION \
      --image-version="composer-3-airflow-2.10.5-build.9" \
      --environment-size=small
    

    A criação do ambiente foi iniciada.

    Exemplos de políticas personalizadas da organização para casos de uso comuns

    A tabela a seguir mostra a sintaxe de algumas restrições personalizadas para casos de uso comuns:

    Descrição Sintaxe de restrição
    Permitir apenas ambientes de IP privado do Cloud Composer
          name: organizations/ORGANIZATION_ID/customConstraints/custom.allowOnlyPrivateIp
          resourceTypes:
          - composer.googleapis.com/Environment
          methodTypes:
          - CREATE
          condition: resource.config.privateEnvironmentConfig.enablePrivateEnvironment == true
          actionType: ALLOW
          displayName: Only Private IP environments
          description: All environments must use Private IP networking
        
    O número máximo de workers precisa ser 10 ou menos
          name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictMaxWorketCount
          resourceTypes:
          - composer.googleapis.com/Environment
          methodTypes:
          - CREATE
          - UPDATE
          condition: resource.config.workloadsConfig.worker.maxCount <= 10
          actionType: ALLOW
          displayName: Limit the maximum number of workers
          description: All environments must have 10 or less workers
        

    Recursos compatíveis com o Cloud Composer

    A tabela a seguir lista os recursos do Cloud Composer que podem ser referenciados em restrições personalizadas.

    Recurso Campo
    composer.googleapis.com/Environment resource.config.environmentSize
    resource.config.maintenanceWindow.recurrence
    resource.config.masterAuthorizedNetworksConfig.enabled
    resource.config.nodeConfig.enableIpMasqAgent
    resource.config.nodeConfig.network
    resource.config.nodeConfig.serviceAccount
    resource.config.nodeConfig.subnetwork
    resource.config.privateEnvironmentConfig.cloudComposerConnectionSubnetwork
    resource.config.privateEnvironmentConfig.enablePrivateBuildsOnly
    resource.config.privateEnvironmentConfig.enablePrivateEnvironment
    resource.config.privateEnvironmentConfig.enablePrivatelyUsedPublicIps
    resource.config.privateEnvironmentConfig.networkingConfig.connectionType
    resource.config.privateEnvironmentConfig.privateClusterConfig.enablePrivateEndpoint
    resource.config.recoveryConfig.scheduledSnapshotsConfig.enabled
    resource.config.recoveryConfig.scheduledSnapshotsConfig.snapshotCreationSchedule
    resource.config.recoveryConfig.scheduledSnapshotsConfig.snapshotLocation
    resource.config.recoveryConfig.scheduledSnapshotsConfig.timeZone
    resource.config.resilienceMode
    resource.config.softwareConfig.cloudDataLineageIntegration.enabled
    resource.config.softwareConfig.imageVersion
    resource.config.softwareConfig.webServerPluginsMode
    resource.config.workloadsConfig.dagProcessor.count
    resource.config.workloadsConfig.dagProcessor.cpu
    resource.config.workloadsConfig.dagProcessor.memoryGb
    resource.config.workloadsConfig.dagProcessor.storageGb
    resource.config.workloadsConfig.scheduler.count
    resource.config.workloadsConfig.scheduler.cpu
    resource.config.workloadsConfig.scheduler.memoryGb
    resource.config.workloadsConfig.scheduler.storageGb
    resource.config.workloadsConfig.triggerer.count
    resource.config.workloadsConfig.triggerer.cpu
    resource.config.workloadsConfig.triggerer.memoryGb
    resource.config.workloadsConfig.webServer.cpu
    resource.config.workloadsConfig.webServer.memoryGb
    resource.config.workloadsConfig.webServer.storageGb
    resource.config.workloadsConfig.worker.cpu
    resource.config.workloadsConfig.worker.maxCount
    resource.config.workloadsConfig.worker.memoryGb
    resource.config.workloadsConfig.worker.minCount
    resource.config.workloadsConfig.worker.storageGb
    resource.name

    A seguir