Gérer les ressources Memorystore pour Redis à l'aide de contraintes personnalisées

Les règles d'administration Google Cloud vous offrent un contrôle centralisé et automatisé sur les ressources de votre organisation. En tant qu'administrateur des règles d'administration, vous pouvez définir une règle d'administration, c'est-à-dire un ensemble de restrictions appelées Contraintes qui s'appliquent aux ressources Google Cloud et aux descendants de ces ressources dans la Hiérarchie des ressources Google Cloud. Vous pouvez appliquer des règles d'administration au niveau d'une organisation, d'un dossier ou d'un projet.

Les règles d'administration fournissent des contraintes prédéfinies pour divers services Google Cloud. Toutefois, si vous souhaitez exercer un contrôle plus précis et personnalisable sur les champs spécifiques qui sont restreints par vos règles d'administration, vous pouvez également créer des règles d'administration personnalisées.

En implémentant une règle d'administration personnalisée, vous appliquez des configurations et des restrictions cohérentes. Cela garantit que vos instances Memorystore pour Redis respectent les bonnes pratiques de sécurité et les exigences réglementaires.

Avantages

Vous pouvez utiliser une règle d'administration personnalisée pour autoriser ou refuser des ressources Memorystore pour Redis spécifiques. Par exemple, si une requête de création ou de mise à jour d'une instance Redis ne répond pas à la validation de contrainte personnalisée définie par votre règle d'administration, la requête échoue et une erreur est renvoyée à l'appelant.

Héritage des règles

Par défaut, les règles d'administration sont héritées par les descendants des ressources sur lesquelles vous les appliquez. Par exemple, si vous appliquez une stratégie au niveau d'un dossier, Google Cloud l'applique à tous les projets du dossier. Pour mieux comprendre ce comportement et savoir comment le modifier, consultez la page Comprendre le processus d'évaluation hiérarchique.

Tarifs

Le service de règles d'administration, y compris les règles d'administration prédéfinies et personnalisées, est proposé gratuitement.

Limites

Comme pour toutes les contraintes des règles d'administration, les modifications apportées aux règles ne s'appliquent pas rétroactivement aux instances existantes.

• Une nouvelle règle n'a aucun impact sur les configurations d'instance existantes.
• Une configuration d'instance existante reste valide, sauf si vous modifiez la configuration de l'instance d'un état de conformité à un état de non-conformité à l'aide de la console Google Cloud, de la Google Cloud CLI ou d'un appel de procédure à distance (RPC).
• Une mise à jour de maintenance planifiée n'entraîne pas l'application des règles, car la maintenance ne modifie pas la configuration des instances.

Avant de commencer

1. Configurer votre projet
   1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

   2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

   3. Make sure that billing is enabled for your Google Cloud project.

   4. Install the Google Cloud CLI.

   5. To initialize the gcloud CLI, run the following command:

      gcloud init

   6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

   7. Make sure that billing is enabled for your Google Cloud project.

   8. Install the Google Cloud CLI.

   9. To initialize the gcloud CLI, run the following command:

      gcloud init

   10. Assurez-vous de connaître votre ID d'organisation.

Rôles requis

Pour obtenir les autorisations nécessaires pour gérer des règles d'administration, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans la ressource d'organisation. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises via des rôles personnalisés ou d'autres rôles prédéfinis.

Créer une contrainte personnalisée

Vous pouvez créer une contrainte personnalisée à l'aide d'un fichier YAML pour définir les ressources, les méthodes, les conditions et les actions soumises à la contrainte. Elles sont spécifiques au service sur lequel vous appliquez la règle d'administration. Les conditions de vos contraintes personnalisées doivent être définies à l'aide du langage Common Expression Language. Consultez la page GitHub sur le Common Expression Language (CEL). Pour en savoir plus sur la création de conditions dans des contraintes personnalisées à l'aide du CEL, consultez la section CEL de la page Créer et gérer des contraintes personnalisées.

Utilisez le modèle suivant pour créer un fichier YAML pour une contrainte personnalisée:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- redis.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Remplacez les éléments suivants :

• ORGANIZATION_ID : ID de votre organisation (par exemple, 123456789).

• CONSTRAINT_NAME : nom souhaité pour votre nouvelle contrainte personnalisée. Une contrainte personnalisée doit commencer par custom. et ne peut inclure que des lettres majuscules, minuscules ou des chiffres, comme par exemple custom.restrictInstanceToOnereplica. La longueur maximale de ce champ est de 70 caractères, sans compter le préfixe, comme par exemple organizations/123456789/customConstraints/custom.allowConstraint.

• RESOURCE_NAME: nom (pas l'URI) de la ressource Memorystore pour Redis contenant l'objet et le champ que vous souhaitez restreindre. Exemple :Instance

• CONDITION : condition CEL écrite pour une représentation d'une ressource de service acceptée. Ce champ ne doit pas comporter plus de 1 000 caractères. Consultez la section Ressources compatibles pour en savoir plus sur les ressources disponibles pour l'écriture de conditions. Par exemple, "resource.replicaCount >= 2".

• ACTION : action à effectuer si la condition est remplie. Peut être défini sur ALLOW ou DENY.

• DISPLAY_NAME : nom convivial de la contrainte. Ce champ ne doit pas comporter plus de 200 caractères.

• DESCRIPTION : description conviviale de la contrainte, qui sera affichée dans un message d'erreur en cas de non-respect de la règle. Ce champ ne doit pas comporter plus de 2 000 caractères.

Pour en savoir plus sur la création d'une contrainte personnalisée, consultez la page Créer et gérer des règles d'administration personnalisées.

Configurer une contrainte personnalisée

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Appliquer une règle d'administration personnalisée

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Tester une contrainte personnalisée

Pour tester une contrainte personnalisée, exécutez une commande gcloud qui tente de créer une instance Redis.

Par exemple, supposons qu'une contrainte exige que les instances Redis ne disposent pas de plus d'un réplica. Vous pouvez tester cette contrainte en exécutant la commande gcloud redis instances create avec le paramètre "replica-count" défini sur 2, comme illustré dans l'extrait de code suivant:

gcloud redis instances create redis-test-instance \
    --project=my-project \
    --tier=standard \
    --size=16 \
    --region=us-central1 \
    --redis-version=redis_7_0 \
    --network=projects/my-project/global/networks/default \
    --connect-mode=PRIVATE_SERVICE_ACCESS \
    --read-replicas-mode=READ_REPLICAS_ENABLED \
    --replica-count=2

Le résultat ressemble à ce qui suit :

Operation denied by custom org policies: ["customConstraints/custom.restrictInstanceToOnereplica": "Prevent users from creating Redis instances with more than one replica"]

Ressources et opérations compatibles avec Memorystore pour Redis

Les champs de contrainte personnalisée Memorystore pour Redis suivants sont disponibles lorsque vous créez ou mettez à jour une ressource Memorystore pour Redis.

• Instance Memorystore pour Redis
  • resource.alternativeLocationId
  • resource.authEnabled
  • resource.authorizedNetwork
  • resource.availableMaintenanceVersions
  • resource.connectMode
  • resource.customerManagedKey
  • resource.displayName
  • resource.locationId
  • resource.maintenancePolicy.description
  • resource.maintenancePolicy.weeklyMaintenanceWindow.day
  • resource.maintenanceVersion
  • resource.memorySizeGb
  • resource.name
  • resource.persistenceConfig.persistenceMode
  • resource.persistenceConfig.rdbSnapshotPeriod
  • resource.persistenceConfig.rdbSnapshotStartTime
  • resource.readReplicasMode
  • resource.redisConfigs
  • resource.redisVersion
  • resource.replicaCount
  • resource.reservedIpRange
  • resource.secondaryIpRange
  • resource.suspensionReasons
  • resource.tier
  • resource.transitEncryptionMode

Exemples de contraintes personnalisées

Le tableau suivant présente un exemple de contrainte personnalisée qui limite l'instance Redis à un réplica:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictInstanceToOnereplica
    resourceTypes:
    - redis.googleapis.com/Instance
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.replicaCount >= 2"
    actionType: DENY
    displayName: Restrict Redis instances to one replica
    description: Prevent users from creating Redis instances with more than one replica

Étape suivante

• Pour en savoir plus sur les règles d'administration, consultez la page Présentation du service de règles d'administration.
• Découvrez comment créer et gérer des règles d'administration.
• Consultez la liste complète des contraintes prédéfinies liées aux règles d'administration.