カスタム制約を使用してデータリネージ リソースを管理する

組織のポリシーは、さまざまなGoogle Cloud サービスに事前に定義された制約を提供します。ただし、組織のポリシーで制限されている特定のフィールドをカスタマイズ可能な方法でより詳細に制御する必要がある場合は、カスタムの組織のポリシーを作成することもできます。

利点

カスタムの組織のポリシーを使用すると、サポートされているリソース属性（プロセス名、ソースタイプ、送信元など）に基づいて条件付きでデータリネージ プロセスの作成を許可または拒否できます。

ポリシーの継承

デフォルトでは、組織のポリシーは、そのポリシーを適用したリソースの子孫に継承されます。たとえば、フォルダにポリシーを適用した場合、 Google Cloud はそのフォルダ内のすべてのプロジェクトにそのポリシーを適用します。この動作の詳細と変更方法については、階層評価ルールをご覧ください。

料金

事前定義の組織のポリシーやカスタムの組織のポリシーを含む組織のポリシー サービスは料金なしで利用できます。

制限事項

• カスタム制約は、データリネージ Process リソースにのみ適用できます。Runs や Events などの他のリソースはサポートされていません。

• 新しく適用されたカスタム制約は、既存のリソースに適用されません。

始める前に

• 組織 ID を把握していることを確認します。

• データリネージ リソースを参照するカスタム組織のポリシーをテストする場合は、新しいプロジェクトを作成します。これらの組織のポリシーを既存のプロジェクトでテストすると、セキュリティ ワークフローが中断される可能性があります。

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Click Create project.

  3. Name your project. Make a note of your generated project ID.

  4. Edit the other fields as needed.

  5. Click Create.

必要なロール

組織のポリシーを管理するために必要な権限を取得するには、組織のリソースに対する組織のポリシー管理者（roles/orgpolicy.policyAdmin）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、組織のポリシーを管理するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

カスタム制約を作成する

カスタム制約は、組織のポリシーを適用しているサービスでサポートされるリソース、メソッド、条件、アクションを使用して YAML ファイルで定義されます。カスタム制約の条件は、Common Expression Language（CEL）を使用して定義されます。CEL を使用してカスタム制約で条件を作成する方法については、カスタム制約の作成と管理の CEL セクションをご覧ください。

カスタム制約の YAML ファイルを作成するには:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- datalineage.googleapis.com/RESOURCE_TYPE
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

次のように置き換えます。

• ORGANIZATION_ID: 組織 ID（123456789 など）。

• CONSTRAINT_NAME: 新しいカスタム制約に付ける名前。カスタム制約は custom. で始まる必要があり、大文字、小文字、数字のみを含めることができます（例: custom.denyLineageProcess）。このフィールドの最大長は 70 文字です。接頭辞はカウントされません（例: organizations/123456789/customConstraints/custom）。

• RESOURCE_TYPE: 制限するオブジェクトとフィールドを含む Data Lineage API REST リソースの名前（URI ではない）。データリネージの場合は Process のみを使用できます。

• CONDITION: サポート対象のサービス リソースの表現に対して書き込まれる CEL 条件。このフィールドの最大長は 1,000 文字です。条件の書き込み先として使用できるリソースの詳細については、サポート対象のリソースをご覧ください。例: "resource.name.contains('invalid_name')"。

• ACTION: condition が満たされている場合に実行するアクション。ALLOW または DENY になります。

• DISPLAY_NAME: 制約の名前。わかりやすい名前を入力してください。このフィールドの最大長は 200 文字です。

• DESCRIPTION: ポリシー違反時にエラー メッセージとして表示される制約の説明。わかりやすい説明を入力してください。このフィールドの最大長は 2,000 文字です。

カスタム制約の作成方法については、カスタム制約の定義をご覧ください。

カスタム制約を設定する

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

カスタムの組織のポリシーを適用する

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

カスタム組織ポリシーをテストする

このセクションでは、テキスト invalid_name を含む名前のデータリネージ プロセスの作成をユーザーに制限する組織のポリシーの制約をテストする方法について説明します。

このカスタム制約をテストするには、次の操作を行います。

1. 始める前にで説明されているように、新しいプロジェクトを作成します。

2. 次の制約を YAML ファイルにコピーします。

     name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcess
     resourceTypes: datalineage.googleapis.com/Process
     methodTypes:
       - CREATE
       - UPDATE
     condition:
       "resource.name.contains('invalid_name')"
     actionType: DENY
     displayName: Do not allow data lineage process with 'invalid_name' to be created.
   

   ORGANIZATION_ID はGoogle Cloud 組織の数値 ID に置き換えます。

3. カスタム制約を設定し、カスタム組織ポリシー制約をテストするために作成したプロジェクトに適用します。

4. カスタム制約に含めた名前のプロセスを作成します。

   curl -s -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application.json" \
   "https://datalineage.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/processes" \
   -d '{"name":"projects/PROJECT_ID/locations/LOCATION/processes/invalid_name"}'

   次のように置き換えます。

   • PROJECT_ID: プロセスが作成されるプロジェクトの ID。制約が定義されている組織と同じ組織に存在する必要があります。
   • LOCATION:プロセスが作成される Google Cloud リージョン。

   次のような出力が表示されます。

   Operation denied by org policy on resource 'projects/PROJECT_ID/locations/LOCATION': ["customConstraints/custom.denyLineageProcess"]
   

データリネージでサポートされているリソースとオペレーション

データリネージ プロセスを作成または更新する際に、次のカスタム制約フィールドを使用できます。

• resource.name
• resource.displayName
• resource.origin.name
• resource.origin.sourceType

カスタム制約は、次のメソッドでチェックされます。

• CreateProcess
• UpdateProcess
• ProcessopenLineageRunEvent

一般的なユースケースのカスタム組織ポリシーの例

次の表に、一般的なユースケースのカスタム制約の構文を示します。

カスタム制約の条件で使用できる CEL マクロの詳細については、Common Expression Language をご覧ください。

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation
    resourceTypes:
    - datalineage.googleapis.com/Process
    methodTypes:
    - CREATE
    condition: "True"
    actionType: DENY
    displayName: Deny creation of all data lineage processes.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation
    resourceTypes:
    - datalineage.googleapis.com/Process
    methodTypes:
    - CREATE
    condition: "resource.origin.sourceType == 'BIGQUERY' || resource.origin.sourceType == 'DATAPROC'"
    actionType: DENY
    displayName: Deny data lineage processes created by BigQuery or Dataproc.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyLineageProcessesCreation
    resourceTypes:
    - datalineage.googleapis.com/Process
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.name.contains('RESTRICTED_NAME')"
    actionType: DENY
    displayName: Deny data lineage processes whose name contains RESTRICTED_NAME.

次のステップ

• 組織のポリシーの詳細について、組織のポリシー サービスの概要を確認する。
• 組織のポリシーの作成と管理の方法について学習する。
• 事前定義された組織のポリシーの制約の完全なリストを確認する。