このページは Cloud Translation API によって翻訳されました。

カスタム制約を使用して Firestore リソースを管理する

このページでは、組織のポリシーサービスのカスタム制約を使用して、次の Google Cloud リソースに対する特定のオペレーションを制限する方法について説明します。

firestore.googleapis.com/Database

組織のポリシーの詳細については、カスタムの組織のポリシーをご覧ください。

組織のポリシーと制約について

Google Cloud 組織のポリシーサービスを使用すると、組織のリソースをプログラマティックに一元管理できます。組織のポリシー管理者は組織のポリシーを定義できます。組織のポリシーは、Google Cloud リソース階層内のGoogle Cloud リソースやそれらのリソースの子孫に適用される、制約と呼ばれる一連の制限です。組織のポリシーは、組織、フォルダ、プロジェクトのいずれかの単位で適用できます。

組織のポリシーを利用することで、あらかじめ用意されたマネージド制約をさまざまな Google Cloud サービスに適用できます。ただし、組織のポリシーで制限されている特定の項目をより細かくカスタマイズして制御したい場合は、カスタム制約を作成して、それを組織のポリシーで使うこともできます。

ポリシーの継承

デフォルトでは、組織のポリシーは、そのポリシーを適用したリソースの子孫に継承されます。たとえば、フォルダにポリシーを適用した場合、 Google Cloud はそのフォルダ内のすべてのプロジェクトにそのポリシーを適用します。この動作の詳細と変更方法については、階層評価ルールをご覧ください。

利点

セキュリティ、コンプライアンス、ガバナンス: カスタムの組織のポリシーを使用して、次のように適用できます。
- 障害復旧要件を適用するには、削除保護やポイントインタイムリカバリなど、データベースに特定の障害復旧設定を要求します。
- データベースの作成を特定のロケーションのみに制限できます。
- データベースに CMEK（顧客管理の暗号鍵）を必須にできます。
監査: カスタムの組織のポリシーの制約が監査ログに記録されます。制約の変更や制約のチェックなどのオペレーションを行うと、対応する Cloud Audit Logs が生成されます。

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

組織 ID を確認します。

必要なロール

カスタムの組織のポリシーを管理するために必要な権限を取得するには、組織のリソースに対する組織のポリシー管理者（roles/orgpolicy.policyAdmin）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

カスタム制約を作成する

カスタム制約は、組織のポリシーを適用しているサービスでサポートされるリソース、メソッド、条件、アクションを使用して YAML ファイルで定義されます。カスタム制約の条件は、Common Expression Language（CEL）を使用して定義されます。CEL を使用してカスタム制約で条件を作成する方法については、カスタム制約の作成と管理の CEL セクションをご覧ください。

カスタム制約を作成するには、次の形式で YAML ファイルを作成します。

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

次のように置き換えます。

ORGANIZATION_ID: 組織 ID（123456789 など）。
CONSTRAINT_NAME: 新しいカスタム制約に付ける名前。カスタム制約は custom. で始まる必要があり、大文字、小文字、数字のみを含めることができます。例: custom.deleteProtectionRequired。このフィールドの最大長は 70 文字です。
RESOURCE_NAME: 制限するオブジェクトとフィールドを含むGoogle Cloud リソースの完全修飾名。例: firestore.googleapis.com/Database
CONDITION: サポート対象のサービスリソースの表現に対して書き込まれる CEL 条件。このフィールドの最大長は 1,000 文字です。条件の書き込み先として使用できるリソースの詳細については、サポート対象のリソースをご覧ください。例: "resource.deleteProtectionState == \"DELETE_PROTECTION_ENABLED\""
ACTION: condition が満たされている場合に実行するアクション。有効な値は ALLOW と DENY です。
DISPLAY_NAME: 制約の名前。わかりやすい名前を入力してください。このフィールドの最大長は 200 文字です。
DESCRIPTION: ポリシー違反時にエラーメッセージとして表示される制約の説明。わかりやすい説明を入力してください。このフィールドの最大長は 2,000 文字です。

カスタム制約の作成方法については、カスタム制約の定義をご覧ください。

カスタム制約を設定する

gcloud org-policies set-custom-constraint

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

CONSTRAINT_PATH

/home/user/customconstraint.yaml

gcloud org-policies list-custom-constraints

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

ORGANIZATION_ID

組織のポリシーの表示

カスタムの組織のポリシーを適用する

コンソール

Google Cloud コンソールで [組織のポリシー] ページに移動します。
[組織のポリシー] に移動
プロジェクト選択ツールで、組織のポリシーを設定するプロジェクトを選択します。
[組織のポリシー] ページのリストで制約を選択して、その制約の [ポリシーの詳細] ページを表示します。
このリソースの組織のポリシーを構成するには、[ポリシーを管理] をクリックします。
[ポリシーの編集] ページで、[Override parent's policy] を選択します。
[ルールを追加] をクリックします。
[適用] セクションで、この組織のポリシーの適用を有効にするかどうかを選択します。
省略可: タグで組織のポリシーに条件を設定するには、[条件を追加] をクリックします。組織のポリシーに条件付きルールを追加する場合は、少なくとも 1 つは無条件のルールを追加する必要があります。そうしないとポリシーを保存できないのでご注意ください。詳細については、タグ付きの組織のポリシーの設定をご覧ください。
[変更内容をテスト] をクリックして、組織のポリシーの効果をシミュレートします。以前のマネージド制約ではポリシーシミュレーションを使用できません。詳細については、Policy Simulator で組織のポリシーの変更をテストするをご覧ください。
組織のポリシーを完成させて適用するには、[ポリシーを設定] をクリックします。ポリシーが有効になるまでに最大 15 分かかります。

gcloud

ブール型ルールを含む組織のポリシーを作成するには、制約を参照するポリシー YAML ファイルを作成します。

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

次のように置き換えます。

PROJECT_ID: 制約を適用するプロジェクト。
CONSTRAINT_NAME: カスタム制約に定義した名前。たとえば、custom.deleteProtectionRequired のようにします。

制約を含む組織のポリシーを適用するには、次のコマンドを実行します。

    gcloud org-policies set-policy POLICY_PATH

POLICY_PATH は、組織のポリシーの YAML ファイルのパスに置き換えます。ポリシーが有効になるまでに最大 15 分かかります。

カスタム組織のポリシーをテストする

始める前に、以下を把握しておく必要があります。

組織の ID

次のように deleteProtectionRequired.yaml ファイルを作成します。
```
 name: organizations/ORGANIZATION_ID/customConstraints/custom.deleteProtectionRequired
 resourceTypes:
 - firestore.googleapis.com/Database
 methodTypes:
 - CREATE
 - UPDATE
 condition: "resource.deleteProtectionState == \"DELETE_PROTECTION_ENABLED\""
 actionType: ALLOW
 displayName: Firestore Delete Protection Required
 description: To ensure the data security, Delete Protection is required to be enabled for Firestore databases.
```
これにより、Firestore データベースのすべての CREATE メソッドと UPDATE メソッドが、deleteProtectionState が DELETE_PROTECTION_ENABLED であるという制約を満たすようになります。その結果、削除保護を明示的に有効にせずにデータベースの作成、更新、復元、クローンのオペレーションを行うと、拒否されます。

組織レベルでカスタム制約を設定します。

gcloud org-policies set-custom-constraint deleteProtectionRequired.yaml

ポリシーのテスト

組織内のプロジェクトで --delete-protection フラグを設定せずにデータベースを作成してみます。

gcloud firestore database create \
   --project=PROJECT_ID \
   --database=DATABASE_ID \

次のような出力が表示されます。

Operation denied by custom org policies: ["customConstraints/custom.deleteProtectionRequired": "To ensure the data security, Delete Protection is required to be enabled for Firestore databases"]

組織のポリシーの変更をテストして分析する

環境の状態と変更による影響をより深く理解するために、組織のポリシーに対するすべての変更のテストとドライランを行うことをおすすめします。

組織のポリシー用の Policy Simulator は、現在の環境に対する制約と組織のポリシーの影響を理解するのに役立ちます。このツールを使用すると、本番環境に適用される前に、すべてのリソース構成を確認して違反が発生している場所を確認できます。詳しい手順については、Policy Simulator で組織のポリシーへの変更をテストするをご覧ください。

現在の影響を把握したら、ドライランモードで組織のポリシーを作成して、今後 30 日間のポリシーの影響と潜在的な違反を把握できます。ドライランモードの組織のポリシーは、ポリシーの違反が監査ログに記録されながら違反アクションは拒否されないタイプの組織のポリシーです。ドライランモードでカスタムの制約から組織のポリシーを作成するには、 Google Cloud コンソールまたは Google Cloud CLI を使用します。詳しい手順については、ドライランモードで組織のポリシーを作成するをご覧ください。

一般的なユースケースのカスタム組織ポリシーの例

次の表に、一般的なユースケースのカスタム制約の構文を示します。

説明	制約の構文
データベース名は特定のパターンに従う必要があります。カスタム組織のポリシーのデータベース名の形式は `projects/project-id/databases/database-id` ですが、データベース管理オペレーションでは `database-id` のみが指定されます。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.nameSuffixMobile resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE condition: "resource.name.endsWith('-mobile')" actionType: ALLOW displayName: Firestore database names end with "-mobile" description: Only allow the creation of database names ending with suffix "-mobile"
データベースは、指定されたロケーションでのみ作成できます。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.locationUsCentral1 resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE condition: "resource.locationId == 'us-central1'" actionType: ALLOW displayName: Firestore database location id us-central1 description: Only allow the creation of databases in region us-central1
データベースは、指定されたタイプである必要があります。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.typeFirestore resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.type=="FIRESTORE_NATIVE"" actionType: ALLOW displayName: Firestore database type Firestore_Native description: Only allow creation and updating of databases if the type is Firestore in native mode.
データベースは、指定された同時実行モードを使用する必要があります。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.concurrencyNotPessimistic resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.concurrencyMode == 'PESSIMISTIC'" actionType: DENY displayName: Firestore database concurrencyMode not pessimistic description: Disallow the creation and updating of databases with pessimistic concurrency mode.
データベースでpoint-in-time-recoveryを有効にする必要があります。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.pitrEnforce resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.pointInTimeRecoveryEnablement == "POINT_IN_TIME_RECOVERY_ENABLED"" actionType: ALLOW displayName: Firestore database enables PiTR description: Only allow the creation and updating of a databases if PiTR is enabled.
データベースは、指定された App Engine 統合モードを使用する必要があります。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.enableAppEngineIntegrationMode resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.appEngineIntegrationMode == 'ENABLED'" actionType: ALLOW displayName: Firestore Database App Engine integration mode enabled description: Only allow the creation and updating of databases with App Engine Integration Mode enabled.
削除保護が有効になっていない限り、データベースの作成を許可しません。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.deleteProtectionRequired resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.deleteProtectionState == "DELETE_PROTECTION_ENABLED"" actionType: ALLOW displayName: Firestore Delete Protection Required description: To ensure the data security, Delete Protection is required to be enabled for Firestore databases.
データベースは、指定された CMEK（顧客管理の暗号鍵）構成を使用する必要があります。	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.cmekKeyNotDev resourceTypes: - firestore.googleapis.com/Database methodTypes: - CREATE - UPDATE condition: "resource.cmekConfig.kmsKeyName.matches('dev$')" actionType: DENY displayName: Firestore database CMEK key not dev description: Disallow the creation and updating of databases with CMEK KMS keys ending with "dev".

Firestore でサポートされているリソース

リソース	フィールド
firestore.googleapis.com/Database	`resource.appEngineIntegrationMode`
	`resource.cmekConfig.kmsKeyName`
	`resource.concurrencyMode`
	`resource.deleteProtectionState`
	`resource.locationId`
	`resource.name`
	`resource.pointInTimeRecoveryEnablement`
	`resource.type`

次のステップ

組織のポリシーサービスについて詳細を学習する。
組織のポリシーの作成と管理の方法について学習する。
マネージドの組織のポリシーの制約全一覧を参照する。