Administrar recursos de Compute Engine usando restricciones personalizadas

Organízate con las colecciones Guarda y clasifica el contenido según tus preferencias.

Google Cloud La Política de organización le brinda control programático centralizado sobre los recursos de su organización. Como administrador de políticas de la organización , puede definir una política de la organización, que es un conjunto de restricciones llamadas restricciones que se aplican aGoogle Cloud recursos y descendientes de esos recursos en el Google Cloud jerarquía de recursos . Puede aplicar políticas de organización a nivel de organización, carpeta o proyecto.

La política de organización proporciona restricciones predefinidas para variosGoogle Cloud servicios. Sin embargo, si desea un control más granular y personalizable sobre los campos específicos que están restringidos en las políticas de su organización, también puede crear restricciones personalizadas y usar esas restricciones personalizadas en una política de organización personalizada.

Beneficios

• Gestión de costos : use políticas de organización personalizadas para restringir la instancia de VM y los tamaños y tipos de discos que se pueden usar en su organización. También puede restringir la familia de máquinas que se utiliza para la instancia de VM.
• Seguridad, cumplimiento y gobernanza : puede utilizar políticas de organización personalizadas para hacer cumplir las políticas de la siguiente manera:
  • Para hacer cumplir los requisitos de seguridad, puede exigir reglas de puerto de firewall específicas en las máquinas virtuales.
  • Para admitir el aislamiento de hardware o el cumplimiento de licencias, puede exigir que todas las máquinas virtuales dentro de un proyecto o carpeta específicos se ejecuten en nodos de único inquilino .
  • Para controlar los scripts de automatización, puede utilizar políticas de organización personalizadas para verificar que las etiquetas coincidan con expresiones específicas.

Herencia de políticas

De forma predeterminada, las políticas de la organización las heredan los descendientes de los recursos en los que aplica la política. Por ejemplo, si aplica una política en una carpeta, Google Cloud aplica la política en todos los proyectos de la carpeta. Para obtener más información sobre este comportamiento y cómo cambiarlo, consulte Reglas de evaluación de jerarquía .

Precios

El Servicio de Políticas de Organización, incluidas las políticas de organización personalizadas y predefinidas, se ofrece sin costo alguno.

Antes de comenzar

• Si aún no lo has hecho, configura la autenticación. La autenticación es el proceso mediante el cual se verifica su identidad para acceder a Google Cloud servicios y API. Para ejecutar código o muestras desde un entorno de desarrollo local, puedes autenticarte en Compute Engine seleccionando una de las siguientes opciones:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

• Asegúrese de conocer el ID de su organización .

Roles requeridos

Para obtener los permisos que necesitas para administrar las políticas de la organización para los recursos de Compute Engine, pídele a tu administrador que te otorgue las siguientes funciones de IAM:

• Administrador de políticas de la organización ( roles/orgpolicy.policyAdmin ) en el recurso de la organización
• Para probar las restricciones: Compute Instance Admin (v1) ( roles/compute.instanceAdmin.v1 ) en el proyecto

Para obtener más información sobre cómo otorgar roles, consulte Administrar el acceso a proyectos, carpetas y organizaciones .

Estos roles predefinidos contienen los permisos necesarios para administrar las políticas de la organización para los recursos de Compute Engine. Para ver los permisos exactos que se requieren, expanda la sección Permisos requeridos :

Es posible que también pueda obtener estos permisos con roles personalizados u otros roles predefinidos .

Recursos compatibles con Compute Engine

Para Compute Engine, puedes establecer restricciones personalizadas en los siguientes recursos y campos.

• Disco persistente : compute.googleapis.com/Disk
  • Tipo de disco persistente: resource.type
  • Tamaño de disco persistente: resource.sizeGb
  • Licencias de disco persistente: resource.licenses
  • Códigos de licencia de disco persistente: resource.licenseCodes
  • Computación confidencial de disco persistente: resource.enableConfidentialCompute
• Imagen : compute.googleapis.com/Image
  • Fuente del disco sin formato: resource.rawDisk.source
• Instancia de VM : compute.googleapis.com/Instance
  • Características avanzadas de la máquina:
    • resource.advancedMachineFeatures.enableNestedVirtualization
    • resource.advancedMachineFeatures.threadsPerCore
  • Configuraciones de instancias de VM confidenciales:
    • resource.confidentialInstanceConfig.enableConfidentialCompute
    • resource.confidentialInstanceConfig.confidentialInstanceType
  • Reenvío de IP: resource.canIpForward
  • Protección contra eliminación: resource.deletionProtection
  • Etiquetas: resource.labels
  • Aceleradores:
    • resource.guestAccelerators.acceleratorType
    • resource.guestAccelerators.acceleratorCount
  • Tipo de máquina: resource.machineType
  • Plataforma mínima de CPU: resource.minCpuPlatform
  • Interfaz de red:
    • resource.networkInterfaces.network
    • resource.networkInterfaces.subnetwork
  • Afinidad de nodo:
    • resource.scheduling.nodeAffinities.key
    • resource.scheduling.nodeAffinities.operator
    • resource.scheduling.nodeAffinities.values
  • Acceso privado a Google (IPv6): resource.privateIpv6GoogleAccess
• Otros recursos informáticos compatibles:
  • Para obtener más información sobre los recursos de Compute Engine utilizados por Cloud Load Balancing, como servicios de backend, depósitos de backend, reglas de reenvío, comprobaciones de estado, políticas SSL, servidores proxy de destino y mapas de URL, consulta la página Administrar recursos de Cloud Load Balancing mediante restricciones personalizadas .

Configurar una restricción personalizada

Una restricción personalizada está definida por los recursos, métodos, condiciones y acciones admitidos por el servicio en el que se aplica la política de la organización. Las condiciones para sus restricciones personalizadas se definen mediante el lenguaje de expresión común (CEL) . Para obtener más información sobre cómo crear condiciones en restricciones personalizadas usando CEL, consulte la sección CEL de Creación y administración de políticas de organización personalizadas .

Puedes crear una restricción personalizada y configurarla para usarla en políticas de la organización mediante la consola de Google Cloud o la CLI de gcloud.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types: CREATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Aplicar una restricción personalizada

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Ejemplo: crear una restricción que restrinja a las máquinas virtuales el uso del tipo de máquina N2D

Ejemplos de restricciones personalizadas para casos de uso comunes

Las siguientes secciones proporcionan la sintaxis de algunas restricciones personalizadas que pueden resultarle útiles:

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksPDExtremeOnly
  resource_types: compute.googleapis.com/Disk
  condition: "resource.type.contains('pd-extreme')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Create pd-extreme disks only
  description: Only the extreme persistent disk type is allowed to be created.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksLessThan250GB
  resource_types: compute.googleapis.com/Disk
  condition: "resource.sizeGb <= 250"
  action_type: ALLOW
  method_types: CREATE
  display_name: Disks size maximum is 250 GB
  description: Restrict the boot disk size to 250 GB or less for all VMs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksfromStoragebucket
  resource_types: compute.googleapis.com/Image
  condition: "resource.rawDisk.source.contains('storage.googleapis.com/test_bucket/')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Source image must be from Cloud Storage test_bucket only
  description: Source images used in this project must be imported from the
  Cloud Storage test_bucket.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createVMWithLabel
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels"
  action_type: ALLOW
  method_types: CREATE
  display_name: 'cost_center' label required
  description: Requires that all VMs created must have the a 'cost_center' label
  that can be used for tracking and billing purposes.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createECommerceVMOnly
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels and resource.labels['cost_center'] == 'eCommerce'"
  action_type: ALLOW
  method_types: CREATE
  display_name:  Label (cost_center/eCommerce) required
  description: Label required and Key/value must be cost_center/eCommerce.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyN2DVMs
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.contains('/machineTypes/n2d')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only N2D VMs allowed
  description: Restrict all VMs created to only use N2D machine types.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyE2highmem8
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.endsWith('-e2-highmem-8')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only "e2-highmem-8" VMs allowed
  description: Restrict all VMs created to only use the E2 high-memory
  machine types that have 8 vCPUs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlySTVM
  resource_types: compute.googleapis.com/Instance
  condition: "resource.scheduling.nodeAffinities.exists(n, n.key == 'foo')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only VMs scheduled on node group "foo" allowed
  description: Restrict all VMs created to use the node group "foo".

¿Qué sigue?

• Consulte Introducción al servicio de políticas de organización para obtener más información sobre las políticas de organización.
• Obtenga más información sobre cómo crear y administrar políticas de la organización .
• Consulte la lista completa de restricciones de políticas de organización predefinidas.