Gerenciar recursos do Compute Engine usando restrições personalizadas

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Google Cloud A Política da Organização oferece controle centralizado e programático sobre os recursos da sua organização. Como administrador da política da organização , você pode definir uma política da organização, que é um conjunto de restrições chamadas restrições que se aplicam aGoogle Cloud recursos e descendentes desses recursos no Google Cloud hierarquia de recursos . Você pode impor políticas da organização no nível da organização, da pasta ou do projeto.

A Política da Organização fornece restrições predefinidas para váriosGoogle Cloud serviços. No entanto, se desejar um controle mais granular e personalizável sobre os campos específicos restritos nas políticas da sua organização, você também poderá criar restrições personalizadas e usar essas restrições personalizadas em uma política personalizada da organização.

Benefícios

• Gerenciamento de custos : use políticas organizacionais personalizadas para restringir a instância de VM e os tamanhos e tipos de disco que podem ser usados ​​em sua organização. Você também pode restringir a família de máquinas usada para a instância de VM
• Segurança, conformidade e governança : você pode usar políticas personalizadas da organização para impor políticas da seguinte maneira:
  • Para impor requisitos de segurança, você pode exigir regras específicas de porta de firewall em VMs.
  • Para oferecer suporte ao isolamento de hardware ou à conformidade de licenciamento, você pode exigir que todas as VMs de um projeto ou pasta específica sejam executadas em nós de locatário individual .
  • Para controlar scripts de automação, você pode usar políticas personalizadas da organização para verificar se os rótulos correspondem às expressões especificadas.

Herança de política

Por padrão, as políticas da organização são herdadas pelos descendentes dos recursos nos quais você impõe a política. Por exemplo, se você aplicar uma política a uma pasta, Google Cloud impõe a política em todos os projetos na pasta. Para saber mais sobre esse comportamento e como alterá-lo, consulte Regras de avaliação de hierarquia .

Preços

O Serviço de Política da Organização, incluindo políticas da organização predefinidas e personalizadas, é oferecido gratuitamente.

Antes de começar

• Se ainda não o fez, configure a autenticação. Autenticação é o processo pelo qual sua identidade é verificada para acesso a Google Cloud serviços e APIs. Para executar códigos ou amostras em um ambiente de desenvolvimento local, você pode se autenticar no Compute Engine selecionando uma das seguintes opções:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

• Certifique-se de saber o ID da sua organização .

Funções obrigatórias

Para receber as permissões necessárias para gerenciar políticas da organização para recursos do Compute Engine, peça ao administrador que conceda a você os seguintes papéis do IAM:

• Administrador de políticas da organização ( roles/orgpolicy.policyAdmin ) no recurso da organização
• Para testar as restrições: Compute Instance Admin (v1) ( roles/compute.instanceAdmin.v1 ) no projeto

Para obter mais informações sobre a concessão de funções, consulte Gerenciar acesso a projetos, pastas e organizações .

Esses papéis predefinidos contêm as permissões necessárias para gerenciar políticas da organização para recursos do Compute Engine. Para ver as permissões exatas necessárias, expanda a seção Permissões necessárias :

Você também poderá obter essas permissões com funções personalizadas ou outras funções predefinidas .

Recursos compatíveis com o Compute Engine

Para o Compute Engine, você pode definir restrições personalizadas nos seguintes recursos e campos.

• Disco permanente : compute.googleapis.com/Disk
  • Tipo de disco permanente: resource.type
  • Tamanho do disco permanente: resource.sizeGb
  • Licenças de disco permanente: resource.licenses
  • Códigos de licença de disco permanente: resource.licenseCodes
  • Computação confidencial de disco permanente: resource.enableConfidentialCompute
• Imagem : compute.googleapis.com/Image
  • Origem do disco bruto: resource.rawDisk.source
• Instância de VM : compute.googleapis.com/Instance
  • Recursos avançados da máquina:
    • resource.advancedMachineFeatures.enableNestedVirtualization
    • resource.advancedMachineFeatures.threadsPerCore
  • Configurações confidenciais de instâncias de VM:
    • resource.confidentialInstanceConfig.enableConfidentialCompute
    • resource.confidentialInstanceConfig.confidentialInstanceType
  • Encaminhamento de IP: resource.canIpForward
  • Proteção contra exclusão: resource.deletionProtection
  • Marcadores: resource.labels
  • Aceleradores:
    • resource.guestAccelerators.acceleratorType
    • resource.guestAccelerators.acceleratorCount
  • Tipo de máquina: resource.machineType
  • Plataforma mínima de CPU: resource.minCpuPlatform
  • Interface de rede:
    • resource.networkInterfaces.network
    • resource.networkInterfaces.subnetwork
  • Afinidade do nó:
    • resource.scheduling.nodeAffinities.key
    • resource.scheduling.nodeAffinities.operator
    • resource.scheduling.nodeAffinities.values
  • Acesso privado do Google (IPv6): resource.privateIpv6GoogleAccess
• Outros recursos de computação suportados:
  • Para obter mais informações sobre os recursos do Compute Engine usados ​​pelo Cloud Load Balancing, como serviços de back-end, buckets de back-end, regras de encaminhamento, verificações de integridade, políticas SSL, proxies de destino e mapas de URL, consulte a página Gerenciar recursos do Cloud Load Balancing usando restrições personalizadas .

Configurar uma restrição personalizada

Uma restrição personalizada é definida pelos recursos, métodos, condições e ações que são suportados pelo serviço no qual você está aplicando a política da organização. As condições para suas restrições personalizadas são definidas usando Common Expression Language (CEL) . Para obter mais informações sobre como criar condições em restrições customizadas usando CEL, consulte a seção CEL de Criando e gerenciando políticas organizacionais customizadas .

Você pode criar uma restrição personalizada e configurá-la para uso em políticas da organização usando o console do Google Cloud ou a CLI gcloud.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types: CREATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Aplicar uma restrição personalizada

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Exemplo: Crie uma restrição que restrinja as VMs a usar o tipo de máquina N2D

Exemplo de restrições personalizadas para casos de uso comuns

As seções a seguir fornecem a sintaxe de algumas restrições personalizadas que podem ser úteis:

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksPDExtremeOnly
  resource_types: compute.googleapis.com/Disk
  condition: "resource.type.contains('pd-extreme')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Create pd-extreme disks only
  description: Only the extreme persistent disk type is allowed to be created.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksLessThan250GB
  resource_types: compute.googleapis.com/Disk
  condition: "resource.sizeGb <= 250"
  action_type: ALLOW
  method_types: CREATE
  display_name: Disks size maximum is 250 GB
  description: Restrict the boot disk size to 250 GB or less for all VMs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksfromStoragebucket
  resource_types: compute.googleapis.com/Image
  condition: "resource.rawDisk.source.contains('storage.googleapis.com/test_bucket/')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Source image must be from Cloud Storage test_bucket only
  description: Source images used in this project must be imported from the
  Cloud Storage test_bucket.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createVMWithLabel
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels"
  action_type: ALLOW
  method_types: CREATE
  display_name: 'cost_center' label required
  description: Requires that all VMs created must have the a 'cost_center' label
  that can be used for tracking and billing purposes.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createECommerceVMOnly
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels and resource.labels['cost_center'] == 'eCommerce'"
  action_type: ALLOW
  method_types: CREATE
  display_name:  Label (cost_center/eCommerce) required
  description: Label required and Key/value must be cost_center/eCommerce.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyN2DVMs
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.contains('/machineTypes/n2d')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only N2D VMs allowed
  description: Restrict all VMs created to only use N2D machine types.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyE2highmem8
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.endsWith('-e2-highmem-8')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only "e2-highmem-8" VMs allowed
  description: Restrict all VMs created to only use the E2 high-memory
  machine types that have 8 vCPUs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlySTVM
  resource_types: compute.googleapis.com/Instance
  condition: "resource.scheduling.nodeAffinities.exists(n, n.key == 'foo')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only VMs scheduled on node group "foo" allowed
  description: Restrict all VMs created to use the node group "foo".

O que vem a seguir

• Consulte Introdução ao Serviço de Política da Organização para saber mais sobre as políticas da organização.
• Saiba mais sobre como criar e gerenciar políticas da organização .
• Veja a lista completa de restrições de política predefinidas da organização .