此页面由 Cloud Translation API 翻译。

使用自定义限制条件管理 Memorystore for Redis 资源

Google Cloud 组织政策可让您以编程方式集中控制组织的资源。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的 Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。

组织政策为各种 Google Cloud 服务提供预定义限制条件。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义组织政策。

通过实现自定义组织政策，您可以强制执行一致的配置和限制。这可确保您的 Memorystore for Redis 实例遵循安全最佳实践和监管要求。

优势

您可以使用自定义组织政策来允许或拒绝特定 Memorystore for Redis 资源。例如，如果创建或更新 Redis 实例的请求未能满足贵组织政策中设置的自定义约束条件验证，该请求将失败，并向调用方返回错误。

政策继承

如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策，Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。

价格

组织政策服务（包括预定义组织政策和自定义组织政策）可免费使用。

限制

与所有组织政策限制条件一样，政策更改不会追溯应用于现有实例。

新政策不会影响现有实例配置。
现有实例配置仍然有效，除非您使用 Google Cloud 控制台、Google Cloud CLI 或 RPC 将实例配置从合规状态更改为不合规状态。
由于维护不会更改实例的配置，因此计划的维护更新不会导致政策强制执行。

准备工作

设置项目。
1. 请确保您知道自己的组织 ID。

所需的角色

如需获得管理组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

您还需要向用户账号添加创建 Memorystore for Redis 所需的角色。请参阅配置对 Memorystore for Redis 资源的访问权限。

创建自定义限制条件

您可以使用 YAML 文件来定义受限制条件约束的资源、方法、条件和操作，从而创建自定义限制条件。这些参数特定于您要强制执行组织政策的服务。自定义限制条件的条件必须使用通用表达式语言进行定义。请参阅介绍通用表达式语言 (CEL) 的 GitHub 页面。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。

使用以下模板为自定义限制条件创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- redis.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

ORGANIZATION_ID：您的组织 ID，例如 123456789。
CONSTRAINT_NAME：新的自定义限制条件的名称。自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.restrictInstanceToOnereplica。该字段的长度上限为 70 个字符，不计算前缀（例如 organizations/123456789/customConstraints/custom.allowConstraint）。
RESOURCE_NAME：包含要限制的对象和字段的 Memorystore for Redis 资源的名称（而非 URI）。例如 Instance。
CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。例如 "resource.replicaCount >= 2"。
ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。
DISPLAY_NAME：限制条件的直观易记名称。此字段的最大长度为 200 个字符。
DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。此字段的长度上限为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅创建和管理自定义组织政策。

设置自定义限制条件

为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用 gcloud org-policies set-custom-constraint 命令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为您的组织资源的 ID。如需了解详情，请参阅查看组织政策。

强制执行自定义组织政策

如需强制执行布尔值限制条件，您可以创建引用该限制条件的组织政策，并将该组织政策应用于 Google Cloud 资源。

控制台

在 Google Cloud 控制台中，转到组织政策页面。
转到组织政策
在项目选择器中，选择要设置组织政策的项目。
从组织政策页面上的列表中选择您的限制条件，以查看该限制条件的政策详情页面。
如需为该资源配置组织政策，请点击管理政策。
在修改政策页面，选择覆盖父级政策。
点击添加规则。
在强制执行部分中，选择开启还是关闭此组织政策的强制执行。
（可选）如需使组织政策成为基于某个标记的条件性政策，请点击添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。如需了解详情，请参阅设置带有标记的组织政策。
如果是自定义限制条件，您可以点击测试更改来模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
若要完成并应用组织政策，请点击设置政策。该政策最长需要 15 分钟才能生效。

gcloud

如需创建强制执行布尔值限制条件的组织政策，请创建引用该限制条件的 YAML 政策文件：

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

请替换以下内容：

PROJECT_ID：要对其实施限制条件的项目。
CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.restrictInstanceToOnereplica。

如需强制执行包含限制条件的组织政策，请运行以下命令：

    gcloud org-policies set-policy POLICY_PATH

将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。

测试自定义限制条件

如需测试自定义限制条件，请运行尝试创建 Redis 实例的 gcloud 命令。

例如，假设某个约束条件要求 Redis 实例不得有多个副本。您可以通过运行 gcloud redis instances create 命令并将 replica-count 设置为 2 来测试此约束条件，如以下代码段所示：

gcloud redis instances create redis-test-instance \
    --project=my-project \
    --tier=standard \
    --size=16 \
    --region=us-central1 \
    --redis-version=redis_7_0 \
    --network=projects/my-project/global/networks/default \
    --connect-mode=PRIVATE_SERVICE_ACCESS \
    --read-replicas-mode=READ_REPLICAS_ENABLED \
    --replica-count=2

输出类似于以下内容：

Operation denied by custom org policies: ["customConstraints/custom.restrictInstanceToOnereplica": "Prevent users from creating Redis instances with more than one replica"]

Memorystore for Redis 支持的资源和操作

在创建或更新 Memorystore for Redis 资源时，您可以使用以下 Memorystore for Redis 自定义约束条件字段。

Memorystore for Redis 实例
- resource.alternativeLocationId
- resource.authEnabled
- resource.authorizedNetwork
- resource.availableMaintenanceVersions
- resource.connectMode
- resource.customerManagedKey
- resource.displayName
- resource.locationId
- resource.maintenancePolicy.description
- resource.maintenancePolicy.weeklyMaintenanceWindow.day
- resource.maintenanceVersion
- resource.memorySizeGb
- resource.name
- resource.persistenceConfig.persistenceMode
- resource.persistenceConfig.rdbSnapshotPeriod
- resource.persistenceConfig.rdbSnapshotStartTime
- resource.readReplicasMode
- resource.redisConfigs
- resource.redisVersion
- resource.replicaCount
- resource.reservedIpRange
- resource.secondaryIpRange
- resource.suspensionReasons
- resource.tier
- resource.transitEncryptionMode

自定义约束条件示例

下表提供了一个将 Redis 实例限制为一个副本的自定义约束条件示例：

说明	限制条件语法
限制 Redis 实例具有一个副本	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.restrictInstanceToOnereplica resourceTypes: - redis.googleapis.com/Instance methodTypes: - CREATE - UPDATE condition: "resource.replicaCount >= 2" actionType: DENY displayName: Restrict Redis instances to one replica description: Prevent users from creating Redis instances with more than one replica

说明

限制条件语法

限制 Redis 实例具有一个副本

    name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictInstanceToOnereplica
    resourceTypes:
    - redis.googleapis.com/Instance
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.replicaCount >= 2"
    actionType: DENY
    displayName: Restrict Redis instances to one replica
    description: Prevent users from creating Redis instances with more than one replica

后续步骤

查看组织政策服务简介，以详细了解组织政策。
详细了解如何创建和管理组织政策。
查看预定义组织政策限制条件的完整列表。