커스텀 제약조건을 사용하여 Cloud Load Balancing 리소스 관리

Google Cloud 조직 정책을 사용하면 조직 리소스를 중앙에서 프로그래매틱 방식으로 제어할 수 있습니다. 조직 정책 관리자는 Google Cloud 리소스 계층 구조에서 Google Cloud 리소스 및 이러한 리소스의 하위 요소에 적용되는 제약조건이라는 제한사항 집합인 조직 정책을 정의할 수 있습니다. 또한, 조직, 폴더, 프로젝트 수준에서 조직 정책을 시행하는 것이 가능합니다.

조직 정책은 다양한 Google Cloud 서비스에 대한 사전 정의된 제약조건을 제공합니다. 그러나 조직 정책에서 제한되는 특정 필드를 보다 세부적으로 맞춤설정 가능한 방식으로 제어하려면 커스텀 제약조건을 만들고 커스텀 조직 정책에 이러한 커스텀 제약조건을 사용하면 됩니다.

이 페이지에서는 사용자가 다음에 익숙하다고 가정합니다.

• 상태 점검 개요

이점

• 비용 관리: 커스텀 조직 정책을 사용하여 상태 점검 프로브 빈도를 제한합니다.
• 보안, 준수 및 거버넌스: 커스텀 조직 정책을 사용해서 다음과 같이 정책을 적용할 수 있습니다.
  • 특정 상태 점검 프로토콜 또는 포트 범위의 사용을 시행합니다.

정책 상속

기본적으로 조직 정책은 정책을 적용하는 리소스의 하위 요소에 상속됩니다. 예를 들어 폴더에 정책을 적용하면 Google Cloud가 폴더의 모든 프로젝트에 정책을 적용합니다. 이 동작 및 이를 변경하는 방법에 대한 자세한 내용은 계층 구조 평가 규칙을 참조하세요.

가격 책정

사전 정의된 조직 정책과 커스텀 조직 정책을 포함한 조직 정책 서비스는 무료로 제공됩니다.

제한사항

• 기존 상태 점검(기존 전역(HTTP) 및 기존 전역(HTTPS))은 지원되지 않습니다.

시작하기 전에

• 아직 인증을 설정하지 않았다면 설정합니다. 인증은 Google Cloud 서비스 및 API에 액세스하기 위해 ID를 확인하는 프로세스입니다. 로컬 개발 환경에서 코드 또는 샘플을 실행하려면 다음과 같이 Compute Engine에 인증하면 됩니다.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

• 조직 ID를 알고 있어야 합니다.

필요한 역할

Cloud Load Balancing 리소스에 대한 조직 정책을 관리하는 데 필요한 권한을 얻으려면 관리자에게 다음 IAM 역할을 부여해 달라고 요청하세요.

• 조직 리소스의 조직 정책 관리자(roles/orgpolicy.policyAdmin)
• HealthCheck 리소스의 제약조건 테스트: 프로젝트의 Compute 부하 분산기 관리자(v1)(roles/compute.loadBalancerAdmin.v1) 권한

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이러한 사전 정의된 역할에는 Cloud Load Balancing 리소스의 조직 정책을 관리하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

Cloud Load Balancing 지원 리소스

Cloud Load Balancing의 경우 다음 리소스 및 필드에 커스텀 제약조건을 설정할 수 있습니다.

• 상태 점검: compute.googleapis.com/HealthCheck
  • resource.checkIntervalSec
  • resource.timeoutSec
  • resource.unhealthyThreshold
  • resource.healthyThreshold
  • resource.type
  • TCP 상태 점검:
    • resource.tcpHealthCheck.port
    • resource.tcpHealthCheck.request
    • resource.tcpHealthCheck.response
    • resource.tcpHealthCheck.proxyHeader
  • SSL 상태 점검:
    • resource.sslHealthCheck.port
    • resource.sslHealthCheck.request
    • resource.sslHealthCheck.response
    • resource.sslHealthCheck.proxyHeader
  • HTTP 상태 점검:
    • resource.httpHealthCheck.port
    • resource.httpHealthCheck.host
    • resource.httpHealthCheck.requestPath
    • resource.httpHealthCheck.proxyHeader
    • resource.httpHealthCheck.response
  • HTTPS 상태 점검:
    • resource.httpsHealthCheck.port
    • resource.httpsHealthCheck.host
    • resource.httpsHealthCheck.requestPath
    • resource.httpsHealthCheck.proxyHeader
    • resource.httpsHealthCheck.response
  • HTTP/2 상태 점검:
    • resource.http2HealthCheck.port
    • resource.http2HealthCheck.host
    • resource.http2HealthCheck.requestPath
    • resource.http2HealthCheck.proxyHeader
    • resource.http2HealthCheck.response
  • GRPC 상태 점검:
    • resource.grpcHealthCheck.port
    • resource.grpcHealthCheck.grpcServiceName
• 지원되는 기타 컴퓨팅 리소스에 관한 자세한 내용은 Compute Engine 맞춤 제약조건 페이지를 참고하세요.

커스텀 제약조건 설정

커스텀 제약조건은 조직 정책을 적용하는 서비스에서 지원되는 리소스, 메서드, 조건, 작업에 의해 정의됩니다. 커스텀 제약조건의 조건은 Common Expression Language(CEL)를 사용하여 정의됩니다. CEL을 사용해서 커스텀 제약 조건에서 조건을 빌드하는 방법은 커스텀 조직 정책 만들기 및 관리의 CEL 섹션을 참조하세요.

Google Cloud 콘솔이나 gcloud CLI를 사용하여 커스텀 제약조건을 만들고 조직 정책에 사용하도록 설정할 수 있습니다.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types:
- compute.googleapis.com/RESOURCE_NAME
method_types:
- CREATE
- UPDATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

커스텀 제약조건 적용

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

예시: TCP 상태 점검 포트를 최소 1024로 제한하는 제약조건 만들기

일반적인 사용 사례의 커스텀 제약조건 예시

다음 섹션에서는 유용할 수 있는 몇 가지 커스텀 제약조건의 문법을 제공합니다.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.healthCheckPortMin1024
  resourceTypes:
  - compute.googleapis.com/HealthCheck
  methodTypes:
  - CREATE
  - UPDATE
  condition: "resource.tcpHealthCheck.port >= 1024 && resource.httpHealthCheck.port >= 1024 && resource.httpsHealthCheck.port >= 1024 && resource.sslHealthCheck.port >= 1024 && resource.sslHealthCheck.port >= 1024 &&resource.http2HealthCheck.port >= 1024 && resource.grpcHealthCheck.port >= 1024"
  actionType: ALLOW
  displayName: Require Port 1024 or greater for all health checks.
  description: All Health Checks protocols must use a port of 1024 or higher, to avoid well-known ports.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.disallowGRPCHealthChecks
  resourceTypes:
  - compute.googleapis.com/HealthCheck
  methodTypes:
  - CREATE
  - UPDATE
  condition: "resource.type == 'GRPC'"
  actionType: DENY
  displayName: Disallow GRPC Health Checks
  description: Health Checks are not allowed to use GRPC.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.minHealthCheckFrequency
  resourceTypes:
  - compute.googleapis.com/HealthCheck
  methodTypes:
  - CREATE
  - UPDATE
  condition: "resource.checkIntervalSec >= 30"
  actionType: ALLOW
  displayName: Disallow fast health check probes
  description: Prevent health checks from having a probe frequency under 30 seconds.

다음 단계

• 조직 정책에 대한 자세한 내용은 조직 정책 서비스 소개 참조하기
• 조직 정책 만들기 및 관리 방법 자세히 알아보기
• 사전 정의된 조직 정책 제약조건의 전체 목록 참조하기