Appliquer l'utilisation de Confidential VM

Pour vous assurer que toutes les VM créées dans votre organisation sont des instances de Confidential VM, vous pouvez utiliser une contrainte de règle d'administration.

Rôles requis

Pour obtenir les autorisations nécessaires pour gérer des règles d'administration, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Ce rôle prédéfini contient les autorisations requises pour gérer les règles d'administration. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Autorisations requises

Les autorisations suivantes sont requises pour gérer les règles d'administration :

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Activer la contrainte

Pour activer la contrainte sur des instances de VM, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Règles d'administration :

    Accéder à la page Règles d'administration

  2. Cliquez sur la zone de sélection en haut de la page, puis choisissez l'organisation à laquelle appliquer la contrainte. Pour appliquer la contrainte à un projet, sélectionnez-en un.

  3. Dans la zone de filtre, saisissez restrict non-confidential computing, puis cliquez sur la règle Restreindre le Non-Confidential Computing.

  4. Sur la page Détails des règles pour Limiter l'informatique non confidentielle, cliquez sur Gérer la règle.

  5. Dans la section Applicable à, cliquez sur Personnaliser.

  6. Dans la section Application des règles, sélectionnez l'une des options suivantes :

    • Fusionner avec le parent Fusionnez votre nouveau paramètre de règle avec celui d'une organisation parente.

    • Remplacer Remplacer le paramètre de règle actuel et ignorer celui de l'organisation parente

  7. Dans la section Règles, cliquez sur Ajouter une règle.

  8. Dans la zone Valeurs de règles, sélectionnez Personnalisé, puis définissez le Type de règle sur Refuser.

  9. Dans la zone Valeurs personnalisées, saisissez compute.googleapis.com comme nom du service d'API pour lequel vous souhaitez appliquer la règle.

  10. Cliquez sur OK.

  11. Cliquez sur Définir la règle.

gcloud

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
    --organization=ORGANIZATION_ID

Indiquez la valeur suivante :

  • ORGANIZATION_ID : ID de l'organisation à laquelle ajouter la contrainte.

    Trouver l'ID d'une organisation Google Cloud

    Console

    Pour trouver l'ID d'une organisation Google Cloud , procédez comme suit :

    1. Accédez à la console Google Cloud .

      Accéder à la console Google Cloud

    2. Cliquez sur la zone de sélecteur dans la barre de menu.
    3. Cliquez sur la zone Sélectionner à partir de, puis sélectionnez votre organisation.
    4. Cliquez sur l'onglet Tous. L'ID de l'organisation s'affiche à côté de son nom.

    CLI gcloud

    Vous pouvez récupérer un ID d'organisation Google Cloud avec la commande suivante :

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Pour appliquer la contrainte au niveau du projet plutôt qu'au niveau de l'organisation, utilisez --project=PROJECT_ID au lieu de --organization=ORGANIZATION_ID.

Vous pouvez également définir des règles avec un fichier de règles à l'aide des commandes set-policy.

Vérifier la contrainte

Pour vérifier la contrainte :

  1. Dans la console Google Cloud , accédez à la page Instances de VM.

    Accéder à la page Instances de VM

  2. Cliquez sur le sélecteur de projet en haut de la page, puis sélectionnez un projet dans lequel créer une VM.

  3. Cliquez sur Créer une instance.

  4. Dans la section Service Confidential VM, vérifiez que votre règle est appliquée.

Désactiver la contrainte

Pour désactiver la contrainte, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Règles d'administration :

    Accéder à la page Règles d'administration

  2. Cliquez sur la zone de sélection en haut de la page, puis choisissez l'organisation à laquelle appliquer la contrainte. Pour appliquer la contrainte à un projet, sélectionnez-en un.

  3. Dans la zone de filtre, saisissez restrict non-confidential computing, puis cliquez sur la règle Restreindre le Non-Confidential Computing.

  4. Sur la page Détails des règles pour Limiter l'informatique non confidentielle, cliquez sur Gérer la règle.

  5. Cliquez sur la règle pour la développer.

  6. Dans la zone Valeurs de règles, sélectionnez Tout autoriser, puis cliquez sur OK.

  7. Cliquez sur Définir la règle.

gcloud

gcloud resource-manager org-policies delete \
    constraints/compute.restrictNonConfidentialComputing \
    --organization=ORGANIZATION_ID

Indiquez la valeur suivante :

  • ORGANIZATION_ID : ID de l'organisation dont vous souhaitez supprimer la contrainte.

    Trouver l'ID d'une organisation Google Cloud

    Console

    Pour trouver l'ID d'une organisation Google Cloud , procédez comme suit :

    1. Accédez à la console Google Cloud .

      Accéder à la console Google Cloud

    2. Cliquez sur la zone de sélecteur dans la barre de menu.
    3. Cliquez sur la zone Sélectionner à partir de, puis sélectionnez votre organisation.
    4. Cliquez sur l'onglet Tous. L'ID de l'organisation s'affiche à côté de son nom.

    CLI gcloud

    Vous pouvez récupérer un ID d'organisation Google Cloud avec la commande suivante :

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Pour supprimer la contrainte au niveau du projet plutôt qu'au niveau de l'organisation, utilisez --project=PROJECT_ID au lieu de --organization=ORGANIZATION_ID.

Vous pouvez également définir des règles avec un fichier de règles à l'aide des commandes set-policy.

Étapes suivantes

Pour en savoir plus sur les concepts de base des règles d'administration :