커스텀 제약조건을 사용하여 Compute Engine 리소스 관리

Google Cloud 조직 정책을 사용하면 조직 리소스를 중앙에서 프로그래매틱 방식으로 제어할 수 있습니다. 조직 정책 관리자는 Google Cloud 리소스 계층 구조에서 Google Cloud 리소스 및 이러한 리소스의 하위 요소에 적용되는 제약조건이라는 제한사항 집합인 조직 정책을 정의할 수 있습니다. 또한, 조직, 폴더, 프로젝트 수준에서 조직 정책을 시행하는 것이 가능합니다.

조직 정책은 다양한 Google Cloud 서비스에 대한 사전 정의된 제약조건을 제공합니다. 그러나 조직 정책에서 제한되는 특정 필드를 보다 세부적으로 맞춤설정 가능한 방식으로 제어하려면 커스텀 제약조건을 만들고 커스텀 조직 정책에 이러한 커스텀 제약조건을 사용하면 됩니다.

이점

• 비용 관리: 커스텀 조직 정책을 사용하여 조직에서 사용할 수 있는 VM 인스턴스, 디스크 크기, 유형을 제한합니다. 또한 VM 인스턴스에 사용되는 머신 계열을 제한할 수 있습니다.
• 보안, 준수 및 거버넌스: 커스텀 조직 정책을 사용해서 다음과 같이 정책을 적용할 수 있습니다.
  • 보안 요구사항을 적용하려면 VM에서 특정 방화벽 포트 규칙이 필요합니다.
  • 하드웨어 격리 또는 라이선싱 규정 준수를 지원하기 위해서는 특정 프로젝트 또는 폴더 내에서 모든 VM이 단독 테넌트 노드에서 실행되도록 설정할 수 있습니다.
  • 자동 스크립트를 제어하기 위해 커스텀 조직 정책을 사용하여 라벨이 지정된 표현식과 일치하는지 확인할 수 있습니다.

정책 상속

기본적으로 조직 정책은 정책을 적용하는 리소스의 하위 요소에 상속됩니다. 예를 들어 폴더에 정책을 적용하면 Google Cloud가 폴더의 모든 프로젝트에 정책을 적용합니다. 이 동작 및 이를 변경하는 방법에 대한 자세한 내용은 계층 구조 평가 규칙을 참조하세요.

가격 책정

사전 정의된 조직 정책과 커스텀 조직 정책을 포함한 조직 정책 서비스는 무료로 제공됩니다.

제한사항

• 모든 Compute Engine 리소스의 경우 CREATE 메서드에 커스텀 제약조건이 적용됩니다.
• Compute Engine SSL 정책 리소스와 같은 일부 Compute Engine 리소스의 경우 UPDATE 메서드에도 커스텀 제약조건이 적용됩니다.

시작하기 전에

• 아직 인증을 설정하지 않았다면 설정합니다. 인증은 Google Cloud 서비스 및 API에 액세스하기 위해 ID를 확인하는 프로세스입니다. 로컬 개발 환경에서 코드 또는 샘플을 실행하려면 다음과 같이 Compute Engine에 인증하면 됩니다.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

• 조직 ID를 알고 있어야 합니다.

필요한 역할

Compute Engine 리소스의 조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 다음 IAM 역할을 부여해 달라고 요청하세요.

• 조직 리소스의 조직 정책 관리자(roles/orgpolicy.policyAdmin)
• 제약조건 테스트: 프로젝트에 대한 Compute 인스턴스 관리자(v1)(roles/compute.instanceAdmin.v1) 권한

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이러한 사전 정의된 역할에는 Compute Engine 리소스의 조직 정책을 관리하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

Compute Engine 지원 리소스

Compute Engine의 경우 다음 리소스 및 필드에 커스텀 제약조건을 설정할 수 있습니다.

• 영구 디스크: compute.googleapis.com/Disk
  • 영구 디스크 유형: resource.type
  • 영구 디스크 크기: resource.sizeGb
• 이미지: compute.googleapis.com/Image
  • 원시 디스크 소스: resource.rawDisk.source
• VM 인스턴스: compute.googleapis.com/Instance
  • 고급 머신 기능:
    • resource.advancedMachineFeatures.enableNestedVirtualization
    • resource.advancedMachineFeatures.threadsPerCore
  • IP 전달: resource.canIpForward
  • 삭제 보호: resource.deletionProtection
  • 라벨: resource.labels
  • 머신 유형: resource.machineType
  • 최소 CPU 플랫폼: resource.minCpuPlatform
  • 네트워크 인터페이스:
    • resource.networkInterfaces.network
    • resource.networkInterfaces.subnetwork
  • 노드 어피니티:
    • resource.scheduling.nodeAffinities.key
    • resource.scheduling.nodeAffinities.operator
    • resource.scheduling.nodeAffinities.values
  • 비공개 Google 액세스(IPv6): resource.privateIpv6GoogleAccess
• SSL 정책: compute.googleapis.com/SslPolicy
  • resource.profile
  • resource.minTlsVersion
  • resource.customFeatures
• 지원되는 기타 컴퓨팅 리소스:
  • HealthCheck: compute.googleapis.com/HealthCheck. 자세한 내용은 Cloud Load Balancing 커스텀 제약조건 페이지를 참조하세요.

커스텀 제약조건 설정

커스텀 제약조건은 조직 정책을 적용하는 서비스에서 지원되는 리소스, 메서드, 조건, 작업에 의해 정의됩니다. 커스텀 제약조건의 조건은 Common Expression Language(CEL)를 사용하여 정의됩니다. CEL을 사용해서 커스텀 제약 조건에서 조건을 빌드하는 방법은 커스텀 조직 정책 만들기 및 관리의 CEL 섹션을 참조하세요.

Google Cloud 콘솔이나 gcloud CLI를 사용하여 커스텀 제약조건을 만들고 조직 정책에 사용하도록 설정할 수 있습니다.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types: CREATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

커스텀 제약조건 적용

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

예시: N2D 머신 유형을 사용하도록 VM을 제한하는 제약조건 만들기

예시: 커스텀 제약조건을 사용하여 TLS 기능 제한

커스텀 제약조건을 사용하여 지원되는 부하 분산기의 TLS 기능을 제한하려면 조직에서 사전 정의된 constraints/compute.requireSslPolicy 제약조건을 사용하는 정책을 정의합니다. 정책을 정의한 후 다음 단계를 수행하여 커스텀 제약조건을 설정하고 사용합니다.

1. 커스텀 제약조건의 YAML 파일을 만듭니다.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.CONSTRAINT_NAME
   resource_types: compute.googleapis.com/SslPolicy
   methodTypes:
   - CREATE
   - UPDATE
   condition: resource.FIELD_NAME == VALUE
   action_type: ACTION
   display_name: DISPLAY_NAME
   description: DESCRIPTION
   

   다음 예시에서는 최소 TLS 버전을 1.2로 제한합니다.

   name: organizations/012345678901/customConstraints/custom.restrictLbTlsVersion
   resource_types: compute.googleapis.com/SslPolicy
   methodTypes:
   - CREATE
   - UPDATE
   condition: resource.minTlsVersion == "TLS_1_2"
   action_type: ALLOW
   display_name: Restrict Load Balancing TLS version to 1.2
   description: Only allow SSL policies to be created or updated if the minimum TLS version is 1.2 where this custom constraint is enforced.
   

2. 커스텀 제약조건을 조직에 추가합니다.

   gcloud org-policies set-custom-constraint PATH_TO_FILE
   

3. 조직에 커스텀 제약조건이 있는지 확인합니다.

   gcloud org-policies list-custom-constraints \
       --organization=ORGANIZATION_ID
   

4. 제약조건의 정책 파일을 만듭니다.

   name: projects/PROJECT_ID/policies/custom.CONSTRAINT_NAME
   spec:
     rules:
     – enforce: true

   다음을 바꿉니다.

   • PROJECT_ID: Google Cloud 프로젝트 ID입니다.
   • CONSTRAINT_NAME: 제약조건 이름

5. 정책을 적용합니다.

   gcloud org-policies set-policy PATH_TO_POLICY_FILE
   

   PATH_TO_POLICY_FILE을 정책 파일의 정규화된 경로로 바꿉니다.

6. 최소 TLS 버전을 1.2로 제한하는 YAML 파일을 만들었다고 가정하고 minTlsVersion을 TLS_1_0으로 설정하여 SSL 정책을 만들어 제약조건을 테스트합니다.

   gcloud compute ssl-policies create SSL_POLICY_NAME \
       --min-tls-version=1.0 \
       --project=PROJECT_ID
   

   출력은 다음과 비슷합니다.

   ERROR: (gcloud.compute.ssl-policies.update) HTTPError 412: Operation
   denied by custom org policy: [customConstraints/custom.
   restrictLbTlsVersion] : Only allow SSL policy resources to be created or
   updated if the minimum TLS version is 1.2 where this custom constraint
   is enforced.
   

일반적인 사용 사례의 커스텀 제약조건 예시

다음 섹션에서는 유용할 수 있는 몇 가지 커스텀 제약조건의 구문을 제공합니다.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksPDExtremeOnly
  resource_types: compute.googleapis.com/Disk
  condition: "resource.type.contains('pd-extreme')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Create pd-extreme disks only
  description: Only the extreme persistent disk type is allowed to be created.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksLessThan250GB
  resource_types: compute.googleapis.com/Disk
  condition: "resource.sizeGb <= 250"
  action_type: ALLOW
  method_types: CREATE
  display_name: Disks size maximum is 250 GB
  description: Restrict the boot disk size to 250 GB or less for all VMs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksfromStoragebucket
  resource_types: compute.googleapis.com/Image
  condition: "resource.rawDisk.source.contains('storage.googleapis.com/test_bucket/')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Source image must be from Cloud Storage test_bucket only
  description: Source images used in this project must be imported from the
  Cloud Storage test_bucket.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createVMWithLabel
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels"
  action_type: ALLOW
  method_types: CREATE
  display_name: 'cost_center' label required
  description: Requires that all VMs created must have the a 'cost_center' label
  that can be used for tracking and billing purposes.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createECommerceVMOnly
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels and resource.labels['cost_center'] == 'eCommerce'"
  action_type: ALLOW
  method_types: CREATE
  display_name:  Label (cost_center/eCommerce) required
  description: Label required and Key/value must be cost_center/eCommerce.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyN2DVMs
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.contains('/machineTypes/n2d')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only N2D VMs allowed
  description: Restrict all VMs created to only use N2D machine types.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyE2highmem8
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.endsWith('-e2-highmem-8')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only "e2-highmem-8" VMs allowed
  description: Restrict all VMs created to only use the E2 high-memory
  machine types that have 8 vCPUs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlySTVM
  resource_types: compute.googleapis.com/Instance
  condition: "resource.scheduling.nodeAffinities.exists(n, n.key == 'foo')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only VMs scheduled on node group "foo" allowed
  description: Restrict all VMs created to use the node group "foo".

다음 단계

• 조직 정책에 대한 자세한 내용은 조직 정책 서비스 소개 참조하기
• 조직 정책 만들기 및 관리 방법 자세히 알아보기
• 사전 정의된 조직 정책 제약조건의 전체 목록 참조하기