Utilizzare criteri dell'organizzazione personalizzati per gli account di servizio e le chiavi degli account di servizio

La policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare policy dell'organizzazione personalizzate.

Vantaggi

Puoi utilizzare criteri dell'organizzazione personalizzati per consentire o negare operazioni specifiche su account di servizio e chiavi degli account di servizio. Ad esempio, puoi impostare un criterio per negare la creazione di una chiave con una determinata origine, in modo che tutte le richieste di creazione di una chiave con quell'origine non vadano a buon fine e restituiscano un errore all'utente.

Ereditarietà delle policy

Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Prima di iniziare

• Assicurati di conoscere il tuo ID organizzazione.

• Se vuoi testare criteri dell'organizzazione personalizzati che fanno riferimento a risorse IAM, crea un nuovo progetto. Il test di queste norme dell'organizzazione in un progetto esistente potrebbe interrompere i flussi di lavoro di sicurezza.

  1. In the Google Cloud console, go to the project selector page.

     Go to project selector

  2. Select or create a Google Cloud project.

     Roles required to select or create a project

     • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
     • Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore delle policy dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire le policy dell'organizzazione. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Crea un vincolo personalizzato

Un vincolo personalizzato è definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio a cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando il Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.

Per creare un file YAML per un vincolo personalizzato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- iam.googleapis.com/RESOURCE_TYPE
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.denyServiceAccountCreation. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.

• RESOURCE_TYPE: il nome (non l'URI) della risorsa REST dell'API Identity and Access Management contenente l'oggetto e il campo che vuoi limitare. Ad esempio, ServiceAccount.

• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili in base a cui scrivere condizioni, consulta la sezione Risorse supportate. Ad esempio "resource.description.contains('INVALID_DESCRIPTION')".

• ACTION: l'azione da eseguire se condition è soddisfatta. Può essere ALLOW o DENY.

• DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Definizione di vincoli personalizzati.

Configura un vincolo personalizzato

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Applicare una policy dell'organizzazione personalizzata

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Testa il criterio dell'organizzazione personalizzato

Se vuoi, puoi testare la policy dell'organizzazione impostandola e poi provando a eseguire un'azione che la policy dovrebbe impedire.

Questa sezione descrive come testare il seguente vincolo di policy dell'organizzazione:

name: organizations/ORG_ID/customConstraints/custom.denyServiceAccountCreation
resourceTypes: iam.googleapis.com/ServiceAccount
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.description.contains('INVALID_DESCRIPTION')"
actionType: DENY
displayName: Do not allow service account with INVALID_DESCRIPTION to be created.

Se vuoi testare questo vincolo personalizzato:

1. Copia il vincolo in un file YAML e sostituisci i seguenti valori:

   • ORG_ID: l'ID numerico della tua organizzazioneGoogle Cloud .
   • INVALID_DESCRIPTION: la descrizione che vuoi utilizzare per testare il vincolo personalizzato. Mentre il vincolo è attivo, gli account di servizio con una descrizione contenente questa stringa non verranno creati nel progetto per cui applichi il vincolo.

2. Configura il vincolo personalizzato e applica il vincolo al progetto che hai creato per testare il vincolo della policy dell'organizzazione personalizzata.

3. Assicurati di disporre del ruolo Creazione service account (roles/iam.serviceAccountCreator).

4. Prova a creare un account di servizio con la descrizione che hai incluso nel vincolo personalizzato. Prima di eseguire il comando, sostituisci i valori seguenti:

   • SERVICE_ACCOUNT_NAME: il nome del account di servizio
   • INVALID_DESCRIPTION: La stringa non valida che verrà controllata nella descrizione del account di servizio
   • DISPLAY_NAME: Il nome del account di servizio da visualizzare nella console Google Cloud

gcloud iam service-accounts create SERVICE_ACCOUNT_NAME \
    --description="INVALID_DESCRIPTION" --display-name="DISPLAY_NAME"

L'output è il seguente:

Operation denied by custom org policy: ["customConstraints/custom.denyServiceAccountCreation": "Do not allow service account with INVALID_DESCRIPTION to be created."]

Risorse e operazioni supportate da Identity and Access Management

I seguenti campi di vincolo personalizzato per il account di servizio e la chiave del account di servizio sono disponibili per l'utilizzo quando crei o aggiorni un account o una chiave.

• Service account
  • resource.description
  • resource.displayName
  • resource.name
    • Formato: projects/PROJECT_ID/serviceAccounts/UNIQUE_ID
• Chiavi service account
  • resource.keyOrigin
  • resource.keyType
  • resource.name
    • Formato: projects/PROJECT_ID/serviceAccounts/UNIQUE_ID/keys/KEY_ID

Esempi di norme personalizzate dell'organizzazione per casi d'uso comuni

La tabella seguente fornisce la sintassi di alcuni vincoli personalizzati per casi d'uso comuni:

Per ulteriori informazioni sulle macro CEL disponibili per l'utilizzo nelle condizioni dei vincoli personalizzati, consulta Common Expression Language.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableServiceAccountCreation
    resourceTypes:
    - iam.googleapis.com/ServiceAccount
    methodTypes:
    - CREATE
    condition: "True"
    actionType: DENY
    displayName: Deny all service account creation.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableServiceAccountKeyCreation
    resourceTypes:
    - iam.googleapis.com/ServiceAccountKey
    methodTypes:
    - CREATE
    condition: "resource.keyType == USER_MANAGED && resource.keyOrigin == GOOGLE_PROVIDED"
    actionType: DENY
    displayName: Deny all service account key creation.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableServiceAccountKeyUpload
    resourceTypes:
    - iam.googleapis.com/ServiceAccountKey
    methodTypes:
    - CREATE
    condition: "resource.keyType == USER_MANAGED && resource.keyOrigin == USER_PROVIDED"
    actionType: DENY
    displayName: Deny all service account key uploads.

Passaggi successivi

• Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione.
• Scopri di più su come creare e gestire le policy dell'organizzazione.
• Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.