Gestire le risorse Memorystore for Redis con vincoli personalizzati

I criteri dell'organizzazione Google Cloud ti offrono un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, ovvero un insieme di limitazioni chiamate vincoli che si applicano alle risorse Google Cloud e ai relativi discendenti nella gerarchia delle risorse Google Cloud. Puoi applicare i criteri dell'organizzazione a livello di organizzazione, cartella o progetto.

I criteri dell'organizzazione forniscono vincoli predefiniti per vari servizi Google Cloud. Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nelle norme dell'organizzazione, puoi anche creare norme dell'organizzazione personalizzate.

Se implementi un criterio dell'organizzazione personalizzato, puoi applicare configurazioni e restrizioni coerenti. In questo modo, le istanze di Memorystore per Redis rispettino le best practice per la sicurezza e i requisiti normativi.

Vantaggi

Puoi utilizzare un criterio dell'organizzazione personalizzato per consentire o negare risorse Memorystore for Redis specifiche. Ad esempio, se una richiesta di creazione o aggiornamento di un'istanza Redis non soddisfa la convalida dei vincoli personalizzati impostata dai criteri dell'organizzazione, la richiesta non andrà a buon fine e verrà restituito un errore all'autore della chiamata.

Ereditarietà delle norme

Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti delle risorse su cui applichi il criterio. Ad esempio, se applichi un criterio a una cartella, Google Cloud lo applica a tutti i progetti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Prezzi

Il servizio di criteri dell'organizzazione, inclusi i criteri dell'organizzazione predefiniti e personalizzati, viene fornito senza costi.

Limitazioni

Come tutti i vincoli dei criteri dell'organizzazione, le modifiche ai criteri non vengono applicate retroattivamente alle istanze esistenti.

• Un nuovo criterio non influisce sulle configurazioni delle istanze esistenti.
• Una configurazione esistente dell'istanza rimane valida, a meno che non modifichi la configurazione dell'istanza da uno stato di conformità a uno stato di non conformità utilizzando la console Google Cloud, Google Cloud CLI o RPC.
• Un aggiornamento di manutenzione pianificata non causa l'applicazione dei criteri, perché la manutenzione non modifica la configurazione delle istanze.

Prima di iniziare

1. Configura il progetto.
   1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

   2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

   3. Make sure that billing is enabled for your Google Cloud project.

   4. Install the Google Cloud CLI.

   5. To initialize the gcloud CLI, run the following command:

      gcloud init

   6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

   7. Make sure that billing is enabled for your Google Cloud project.

   8. Install the Google Cloud CLI.

   9. To initialize the gcloud CLI, run the following command:

      gcloud init

   10. Assicurati di conoscere il ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore dei criteri dell'organizzazione (roles/orgpolicy.policyAdmin) nella risorsa dell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Creare un vincolo personalizzato

Puoi creare un vincolo personalizzato utilizzando un file YAML per definire le risorse, i metodi, le condizioni e le azioni soggette al vincolo. Sono specifici del servizio su cui applichi i criteri dell'organizzazione. Le condizioni per i vincoli personalizzati devono essere definite utilizzando il linguaggio Common Expression Language. Consulta la pagina di GitHub relativa al Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione CEL di Creare e gestire vincoli personalizzati.

Utilizza il seguente modello per creare un file YAML per una limitazione personalizzata:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- redis.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Una limitazione personalizzata deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.restrictInstanceToOnereplica. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom.allowConstraint.

• RESOURCE_NAME: il nome (non l'URI) della risorsa Memorystore for Redis contenente l'oggetto e il campo che vuoi limitare. Ad esempio, Instance.

• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Consulta la sezione Risorse supportate per ulteriori informazioni sulle risorse disponibili per la scrittura delle condizioni. Ad esempio, "resource.replicaCount >= 2".

• ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. Può essere ALLOW o DENY.

• DISPLAY_NAME: un nome facile da ricordare per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Creare e gestire criteri dell'organizzazione personalizzati.

Configurare un vincolo personalizzato

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Applicare un criterio dell'organizzazione personalizzato

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Testare un vincolo personalizzato

Per testare un vincolo personalizzato, esegui un comando gcloud che tenta di creare un'istanza Redis.

Ad esempio, supponiamo che una limitazione richieda che le istanze Redis non abbiano più di una replica. Puoi testare questo vincolo eseguendo il comando gcloud redis instances create con replica-count impostato su 2, come mostrato nello snippet seguente:

gcloud redis instances create redis-test-instance \
    --project=my-project \
    --tier=standard \
    --size=16 \
    --region=us-central1 \
    --redis-version=redis_7_0 \
    --network=projects/my-project/global/networks/default \
    --connect-mode=PRIVATE_SERVICE_ACCESS \
    --read-replicas-mode=READ_REPLICAS_ENABLED \
    --replica-count=2

L'output è simile al seguente:

Operation denied by custom org policies: ["customConstraints/custom.restrictInstanceToOnereplica": "Prevent users from creating Redis instances with more than one replica"]

Risorse e operazioni supportate da Memorystore for Redis

I seguenti campi di vincoli personalizzati di Memorystore for Redis sono disponibili per l'utilizzo quando crei o aggiorni una risorsa Memorystore for Redis.

• Individuare l'istanza Memorystore for Redis
  • resource.alternativeLocationId
  • resource.authEnabled
  • resource.authorizedNetwork
  • resource.availableMaintenanceVersions
  • resource.connectMode
  • resource.customerManagedKey
  • resource.displayName
  • resource.locationId
  • resource.maintenancePolicy.description
  • resource.maintenancePolicy.weeklyMaintenanceWindow.day
  • resource.maintenanceVersion
  • resource.memorySizeGb
  • resource.name
  • resource.persistenceConfig.persistenceMode
  • resource.persistenceConfig.rdbSnapshotPeriod
  • resource.persistenceConfig.rdbSnapshotStartTime
  • resource.readReplicasMode
  • resource.redisConfigs
  • resource.redisVersion
  • resource.replicaCount
  • resource.reservedIpRange
  • resource.secondaryIpRange
  • resource.suspensionReasons
  • resource.tier
  • resource.transitEncryptionMode

Esempi di vincoli personalizzati

La tabella seguente fornisce un esempio di vincolo personalizzato che limita l'istanza Redis a una replica:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictInstanceToOnereplica
    resourceTypes:
    - redis.googleapis.com/Instance
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.replicaCount >= 2"
    actionType: DENY
    displayName: Restrict Redis instances to one replica
    description: Prevent users from creating Redis instances with more than one replica

Passaggi successivi

• Per saperne di più sui criteri dell'organizzazione, consulta la Introduzione al servizio Criteri dell'organizzazione.
• Scopri di più su come creare e gestire i criteri dell'organizzazione.
• Consulta l'elenco completo dei vincoli dei criteri dell'organizzazione predefiniti.