使用自訂限制條件管理 Compute Engine 資源

Google Cloud 機構政策可讓您透過程式以集中方式控管機構資源。身為機構政策管理員，您可以定義機構政策，也就是一組稱為限制的限制，適用於 Google Cloud 資源階層中的Google Cloud 資源和這些資源的子系。您可以在機構、資料夾或專案層級強制執行機構政策。

機構政策為各種Google Cloud 服務提供預先定義的限制。不過，如果您想進一步掌控貴機構政策中受限制的特定欄位，並且自訂相關控管方式，也可以建立自訂限制，並在自訂機構政策中使用這些自訂限制。

優點

• 成本管理：使用自訂機構政策限制貴機構可使用的 VM 執行個體、磁碟大小和類型。您也可以限制 VM 執行個體使用的機器系列
• 安全性、法規遵循和治理：您可以使用自訂機構政策強制執行政策，如下所示：
  • 如要強制執行安全性規定，您可以要求 VM 使用特定的防火牆通訊埠規則。
  • 如要支援硬體隔離或授權法規遵循，您可以要求特定專案或資料夾中的所有 VM 在單一用戶群節點上執行。
  • 如要管理自動化指令碼，您可以使用自訂機構政策來驗證標籤是否符合指定的運算式。

政策繼承

根據預設，機構政策會由您強制執行政策的資源子項繼承。舉例來說，如果您對資料夾套用政策， Google Cloud 就會對資料夾中的所有專案套用該政策。如要進一步瞭解這項行為和如何變更，請參閱「階層評估規則」。

定價

機構政策服務 (包括預先定義和自訂機構政策) 均免費提供。

事前準備

• 如果尚未設定，請先設定驗證機制。驗證是指驗證身分，以便存取 Google Cloud 服務和 API 的程序。如要從本機開發環境執行程式碼或範例，請選取下列任一選項，以便對 Compute Engine 進行驗證：
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

• 請務必確認您知道自己的機構 ID。

必要的角色

如要取得管理 Compute Engine 資源組織政策所需的權限，請要求管理員授予您下列 IAM 角色：

• 機構資源的機構政策管理員 (roles/orgpolicy.policyAdmin)
• 如要測試限制條件： Compute 執行個體管理員 (v1) (roles/compute.instanceAdmin.v1) 在專案中

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這些預先定義的角色包含管理 Compute Engine 資源的組織政策所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

Compute Engine 支援的資源

針對 Compute Engine，您可以針對下列資源和欄位設定自訂限制。

• Persistent Disk：compute.googleapis.com/Disk
  • 永久磁碟類型：resource.type
  • 永久磁碟大小：resource.sizeGb
  • 永久磁碟授權：resource.licenses
  • 永久磁碟授權代碼：resource.licenseCodes
  • Persistent Disk 機密運算：resource.enableConfidentialCompute
  • 永久磁碟來源映像檔：resource.sourceImage
• 圖片：compute.googleapis.com/Image
  • 原始磁碟來源：resource.rawDisk.source
• VM 執行個體：compute.googleapis.com/Instance
  • 進階機器功能：
    • resource.advancedMachineFeatures.enableNestedVirtualization
    • resource.advancedMachineFeatures.threadsPerCore
    • resource.advancedMachineFeatures.performanceMonitoringUnit
  • 機密 VM 執行個體設定：
    • resource.confidentialInstanceConfig.enableConfidentialCompute
    • resource.confidentialInstanceConfig.confidentialInstanceType
  • 防刪除功能：resource.deletionProtection
  • IP 轉送：resource.canIpForward
  • 私人 Google 存取權 (IPv6)：resource.privateIpv6GoogleAccess
  • 標籤數：resource.labels 個
  • 加速器：
    • resource.guestAccelerators.acceleratorType
    • resource.guestAccelerators.acceleratorCount
  • 機器類型：resource.machineType
  • 最低 CPU 平台：resource.minCpuPlatform
  • 名稱：resource.name
  • 網路介面：
    • resource.networkInterfaces.network
    • resource.networkInterfaces.subnetwork
    • resource.networkInterfaces.networkAttachment
  • 節點相依性：
    • resource.scheduling.nodeAffinities.key
    • resource.scheduling.nodeAffinities.operator
    • resource.scheduling.nodeAffinities.values
  • 防護執行個體設定：
    • resource.shieldedInstanceConfig.enableSecureBoot
    • resource.shieldedInstanceConfig.enableVtpm
    • resource.shieldedInstanceConfig.enableIntegrityMonitoring
  • 可用區：resource.zone
• 其他支援的運算資源：
  • 如要進一步瞭解 Cloud Load Balancing 使用的 Compute Engine 資源 (例如後端服務、後端值區、轉送規則、健康檢查、SSL 政策、目標 Proxy 和網址對應)，請參閱「使用自訂限制管理 Cloud Load Balancing 資源」頁面。

設定自訂限制

自訂限制是由您要強制執行機構政策的服務支援的資源、方法、條件和動作所定義。您可以使用一般運算語言 (CEL) 定義自訂限制條件。如要進一步瞭解如何使用 CEL 在自訂限制中建立條件，請參閱「建立及管理自訂機構政策」一文中的 CEL 相關部分。

您可以使用 Google Cloud 主控台或 gcloud CLI 建立自訂限制，並設定用於機構政策。

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types: CREATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

強制執行自訂限制

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

範例：建立限制，限制 VM 使用 N2D 機器類型

常見用途的範例自訂限制

以下各節將提供一些實用的自訂限制語法：

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksPDExtremeOnly
  resource_types: compute.googleapis.com/Disk
  condition: "resource.type.contains('pd-extreme')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Create pd-extreme disks only
  description: Only the extreme persistent disk type is allowed to be created.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksLessThan250GB
  resource_types: compute.googleapis.com/Disk
  condition: "resource.sizeGb <= 250"
  action_type: ALLOW
  method_types: CREATE
  display_name: Disks size maximum is 250 GB
  description: Restrict the boot disk size to 250 GB or less for all VMs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksfromStoragebucket
  resource_types: compute.googleapis.com/Image
  condition: "resource.rawDisk.source.contains('storage.googleapis.com/test_bucket/')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Source image must be from Cloud Storage test_bucket only
  description: Source images used in this project must be imported from the
  Cloud Storage test_bucket.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createVMWithLabel
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels"
  action_type: ALLOW
  method_types: CREATE
  display_name: 'cost_center' label required
  description: Requires that all VMs created must have the a 'cost_center' label
  that can be used for tracking and billing purposes.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createECommerceVMOnly
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels and resource.labels['cost_center'] == 'eCommerce'"
  action_type: ALLOW
  method_types: CREATE
  display_name:  Label (cost_center/eCommerce) required
  description: Label required and Key/value must be cost_center/eCommerce.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyN2DVMs
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.contains('/machineTypes/n2d')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only N2D VMs allowed
  description: Restrict all VMs created to only use N2D machine types.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyE2highmem8
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.endsWith('-e2-highmem-8')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only "e2-highmem-8" VMs allowed
  description: Restrict all VMs created to only use the E2 high-memory
  machine types that have 8 vCPUs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlySTVM
  resource_types: compute.googleapis.com/Instance
  condition: "resource.scheduling.nodeAffinities.exists(n, n.key == 'foo')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only VMs scheduled on node group "foo" allowed
  description: Restrict all VMs created to use the node group "foo".

後續步驟

• 如要進一步瞭解機構政策，請參閱「機構政策服務簡介」。
• 進一步瞭解如何建立及管理組織政策。
• 請參閱預先定義的機構政策限制完整清單。