Aplica el uso de Confidential VM

Para asegurarte de que todas las VMs creadas en tu organización sean instancias de Confidential VMs, puedes usar una restricción de política de la organización.

Roles obligatorios

Para obtener los permisos que necesitas para administrar las políticas de la organización, pídele a tu administrador que te otorgue el rol de IAM de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene los permisos necesarios para administrar las políticas de la organización. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para administrar las políticas de la organización:

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Habilita la restricción

Para habilitar la restricción en las instancias de VM, completa las siguientes instrucciones:

Console

  1. En la consola de Google Cloud , ve a la página Políticas de la organización:

    Ir a Políticas de la organización

  2. Haz clic en el cuadro de cambio en la parte superior de la página y elige la organización a la que se aplicará la restricción. Para aplicar la restricción a un proyecto, selecciona un proyecto.

  3. En la casilla de filtro, ingresa restrict non-confidential computing y, luego, haz clic en la política Restringir la computación no confidencial.

  4. En la página Detalles de la política para Restringir el procesamiento no confidencial, haz clic en Administrar política.

  5. En la sección Se aplica a, haz clic en Personalizar.

  6. En la sección Aplicación de la política, elige una de las siguientes opciones:

    • Combinar con elemento superior Combina tu nuevo parámetro de configuración de política con el de una organización principal.

    • Reemplazar. Reemplaza el parámetro de configuración de la política actual y omite el de la organización principal.

  7. En la sección Reglas, haz clic en Agregar una regla.

  8. En el cuadro Valores de la política, selecciona Personalizado y establece el Tipo de política en Denegar.

  9. En el cuadro Valores personalizados, ingresa compute.googleapis.com como el nombre del servicio de API en el que deseas aplicar la política.

  10. Haz clic en Listo.

  11. Haz clic en Establecer política.

gcloud

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
    --organization=ORGANIZATION_ID

Ingresa el siguiente valor:

  • ORGANIZATION_ID: Es el ID de la organización a la que se agregará la restricción.

    Cómo encontrar un ID de organización Google Cloud

    Console

    Para encontrar un ID de organización de Google Cloud , completa los siguientes pasos:

    1. Ve a la consola de Google Cloud .

      Ir a la consola de Google Cloud

    2. Haz clic en el cuadro del conmutador en la barra de menú.
    3. Haz clic en el cuadro Seleccionar desde y, luego, selecciona tu organización.
    4. Haz clic en la pestaña Todos. El ID de la organización se muestra junto al nombre de la organización.

    gcloud CLI

    Puedes recuperar un ID de organización con el siguiente comando: Google Cloud 

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para aplicar la restricción a nivel del proyecto en lugar de a nivel de la organización, usa --project=PROJECT_ID en lugar de --organization=ORGANIZATION_ID.

Como alternativa, puedes establecer políticas con un archivo de política usando comandos set-policy.

Verifica la restricción

Para verificar la restricción, haz lo siguiente:

  1. En la Google Cloud consola, ve a la página Instancias de VM.

    Ir a Instancias de VM

  2. Haz clic en el selector de proyectos en la parte superior de la página y elige un proyecto en el que crear una VM.

  3. Haz clic en Crear instancia.

  4. En la sección Servicio de Confidential VM, verifica que se aplique tu política.

Inhabilita la restricción

Para inhabilitar la restricción, completa las siguientes instrucciones:

Console

  1. En la consola de Google Cloud , ve a la página Políticas de la organización:

    Ir a Políticas de la organización

  2. Haz clic en el cuadro de cambio en la parte superior de la página y elige la organización a la que se aplicará la restricción. Para aplicar la restricción a un proyecto, selecciona un proyecto.

  3. En la casilla de filtro, ingresa restrict non-confidential computing y, luego, haz clic en la política Restringir la computación no confidencial.

  4. En la página Detalles de la política para Restringir el procesamiento no confidencial, haz clic en Administrar política.

  5. Haz clic en la regla para expandirla.

  6. En el cuadro Valores de la política, selecciona Permitir todo y, luego, haz clic en Listo.

  7. Haz clic en Establecer política.

gcloud

gcloud resource-manager org-policies delete \
    constraints/compute.restrictNonConfidentialComputing \
    --organization=ORGANIZATION_ID

Ingresa el siguiente valor:

  • ORGANIZATION_ID: Es el ID de la organización de la que se borrará la restricción.

    Cómo encontrar un ID de organización Google Cloud

    Console

    Para encontrar un ID de organización de Google Cloud , completa los siguientes pasos:

    1. Ve a la consola de Google Cloud .

      Ir a la consola de Google Cloud

    2. Haz clic en el cuadro del conmutador en la barra de menú.
    3. Haz clic en el cuadro Seleccionar desde y, luego, selecciona tu organización.
    4. Haz clic en la pestaña Todos. El ID de la organización se muestra junto al nombre de la organización.

    gcloud CLI

    Puedes recuperar un ID de organización con el siguiente comando: Google Cloud 

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para borrar la restricción a nivel del proyecto en lugar de a nivel de la organización, usa --project=PROJECT_ID en lugar de --organization=ORGANIZATION_ID.

Como alternativa, puedes establecer políticas con un archivo de política usando comandos set-policy.

¿Qué sigue?

Para obtener más información sobre los conceptos centrales de la política de la organización, haz lo siguiente: