Inhabilitar recursos avanzados de Eventarc

En esta guía se describe cómo inhabilitar recursos avanzados de Eventarc mediante políticas de organización personalizadas.

Eventarc Advanced no cumple las certificaciones y los estándares que admite Eventarc Standard. Si tu organización debe cumplir estos estándares, puedes inhabilitar la creación o actualización de recursos avanzados de Eventarc.

Antes de empezar

Antes de inhabilitar los recursos avanzados de Eventarc, asegúrate de que se cumplen los siguientes requisitos:

  • Conoces el Google Cloud ID de tu organización.
  • Para obtener los permisos que necesitas para gestionar las políticas de la organización personalizadas, pide a tu administrador que te conceda el rol de gestión de identidades y accesos Administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en el recurso de la organización.

Crear una restricción personalizada

Puedes crear una restricción personalizada y usarla en una política de organización para evitar que se creen y actualicen recursos avanzados de Eventarc.

  1. Para crear una restricción personalizada, crea un archivo YAML con el siguiente formato:

    name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
-eventarc.googleapis.com/Enrollment
-eventarc.googleapis.com/GoogleApiSource
-eventarc.googleapis.com/MessageBus
-eventarc.googleapis.com/Pipeline
methodTypes:
- CREATE
- UPDATE
condition: "true"
actionType: DENY
description: "Disable Eventarc Advanced resources"

    Haz los cambios siguientes:

    • ORGANIZATION_ID: el ID de tu organización, como 123456789.

    • CONSTRAINT_NAME: el nombre que quieras asignar a la nueva restricción personalizada. Una restricción personalizada debe empezar por custom. y solo puede incluir letras mayúsculas, letras minúsculas o números. Por ejemplo, custom.disableEventarcAdvancedResources. La longitud máxima de este campo es de 70 caracteres.

    La restricción personalizada se aplica a los siguientes tipos de recursos de Eventarc Advanced:

    • Enrollment
    • GoogleApiSource
    • MessageBus
    • Pipeline

Configurar una restricción personalizada

Una vez que hayas creado el archivo YAML de una nueva restricción personalizada, debes configurarla para que esté disponible en las políticas de organización de tu organización. Para configurar una restricción personalizada, usa el comando gcloud org-policies set-custom-constraint: 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sustituye CONSTRAINT_PATH por la ruta completa a tu archivo de restricciones personalizadas. Por ejemplo, /home/user/customconstraint.yaml. Una vez completado el proceso, las restricciones personalizadas estarán disponibles como políticas de organización en la lista de Google Cloud políticas de organización. Para verificar que la restricción personalizada existe, usa el comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sustituye ORGANIZATION_ID por el ID del recurso de tu organización. Para obtener más información, consulta Ver políticas de la organización.

Aplicar una política de organización personalizada

Para aplicar una restricción, crea una política de organización que haga referencia a ella y, a continuación, aplica esa política de organización a un Google Cloud recurso.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de la organización.

    Ir a Políticas de organización

  2. En el selector de proyectos, elige el proyecto para el que quieras definir la política de organización.
  3. En la lista de la página Políticas de organización, selecciona la restricción para ver la página Detalles de la política correspondiente.
  4. Para configurar la política de la organización de este recurso, haz clic en Gestionar política.
  5. En la página Editar política, selecciona Anular política del recurso superior.
  6. Haz clic en Añadir regla.
  7. En la sección Aplicación, selecciona si quieres activar o desactivar la aplicación de esta política de la organización.
  8. Opcional: Para que la política de la organización dependa de una etiqueta, haz clic en Añadir condición. Ten en cuenta que, si añades una regla condicional a una política de organización, debes añadir al menos una regla incondicional o la política no se podrá guardar. Para obtener más información, consulta Configurar una política de organización con etiquetas.
  9. Haz clic en Probar cambios para simular el efecto de la política de la organización. La simulación de políticas no está disponible para las restricciones gestionadas antiguas. Para obtener más información, consulta el artículo Probar los cambios en las políticas de la organización con el simulador de políticas.
  10. Para finalizar y aplicar la política de organización, haz clic en Definir política. La política tarda hasta 15 minutos en aplicarse.

gcloud

Para crear una política de organización con reglas booleanas, crea un archivo YAML de política que haga referencia a la restricción: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Haz los cambios siguientes:

  • PROJECT_ID: el proyecto en el que quieras aplicar la restricción.
  • CONSTRAINT_NAME: el nombre de la restricción que quieras aplicar. Por ejemplo, compute.disableAllIpv6.

Para aplicar la política de la organización que contiene la restricción, ejecuta el siguiente comando: 

    gcloud org-policies set-policy POLICY_PATH

Sustituye POLICY_PATH por la ruta completa al archivo YAML de la política de tu organización. La política tarda hasta 15 minutos en aplicarse.

Siguientes pasos