Mengelola resource dengan batasan kustom

Halaman ini menunjukkan cara menggunakan batasan kustom Layanan Kebijakan Organisasi untuk membatasi operasi tertentu pada resource berikut: Google Cloud

• cloudresourcemanager.googleapis.com/Project
• cloudresourcemanager.googleapis.com/Folder

Untuk mempelajari lebih lanjut Kebijakan Organisasi, lihat Kebijakan organisasi kustom.

Tentang batasan dan kebijakan organisasi

Google Cloud Layanan Kebijakan Organisasi memberi Anda kontrol terpusat dan terprogram atas resource organisasi. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk Google Cloud resource dan turunan dari resource tersebut dalam Google Cloud hierarki resource. Anda dapat menerapkan kebijakan organisasi di tingkat organisasi, folder, atau project.

Kebijakan Organisasi menyediakan batasan terkelola bawaan untuk berbagai layanan Google Cloud . Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat batasan khusus dan menggunakan batasan khusus tersebut dalam kebijakan organisasi.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari lebih lanjut perilaku ini dan cara mengubahnya, lihat Aturan evaluasi hierarki.

Manfaat

Untuk keamanan, kepatuhan, dan tata kelola, Anda dapat menggunakan kebijakan organisasi kustom dengan cara berikut:

• Mengatur pola penamaan project: Anda dapat membuat batasan kustom pada project ID. Misalnya, di folder resource penyiapan, izinkan operasi pembuatan dan pembaruan pada project hanya jika ID project dimulai dengan staging-.
• Membatasi mutasi project dan folder yang aman: Anda dapat membuat batasan kustom untuk menolak update project dan folder jika induknya adalah folder atau organisasi yang aman.

Batasan

• Operasi pembuatan atau update pada resource App Script, Firebase, atau Contact Center Solution mungkin gagal jika batasan kustom telah ditetapkan pada folder atau project. Dalam kasus seperti itu, periksa kondisi dalam batasan kustom yang menyebabkan kegagalan. Pastikan batasan ini diperbarui, lalu coba lagi operasi yang gagal.
• Seperti semua batasan kebijakan organisasi, perubahan kebijakan tidak berlaku secara surut pada instance yang ada.
• Pembuatan project dan folder di konsol Google Cloud mungkin tidak memberikan alasan spesifik untuk pesan error PERMISSION_DENIED. Untuk mengonfirmasi detail tentang batasan spesifik yang menyebabkan kegagalan, Anda dapat memeriksa log audit.

Sebelum memulai

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk mengelola kebijakan organisasi kustom, minta administrator untuk memberi Anda peran IAM Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di resource organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Membuat batasan khusus

Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membangun kondisi dalam batasan khusus menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

Untuk membuat batasan khusus, buat file YAML menggunakan format berikut:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ganti kode berikut:

• ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.

• CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus diawali dengan custom., dan hanya boleh menyertakan huruf besar, huruf kecil, atau angka. Contohnya, custom.allowProjectForXDepartmentNameOnly. Panjang maksimum kolom ini adalah 70 karakter.

• RESOURCE_NAME: nama lengkap Google Cloud resource yang berisi objek dan kolom yang ingin Anda batasi. Misalnya, cloudresourcemanager.googleapis.com/Project.

• CONDITION: kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini memiliki panjang maksimal 1.000 karakter. Lihat Resource yang didukung untuk mengetahui informasi selengkapnya tentang resource yang tersedia untuk menulis kondisi. Contoh, "resource.projectId.startsWith(\"XDepartment\")"

• ACTION: tindakan yang akan diambil jika condition terpenuhi. Nilai yang mungkin adalah ALLOW dan DENY.

• DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.

• DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2.000 karakter.

Untuk mengetahui informasi selengkapnya tentang cara membuat batasan kustom, lihat Menentukan batasan kustom.

Menyiapkan batasan kustom

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Menerapkan kebijakan organisasi kustom

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Menguji kebijakan organisasi kustom

Contoh berikut membuat batasan dan kebijakan kustom yang mewajibkan semua ID project dimulai dengan dev_ di organisasi Anda.

Sebelum memulai, identifikasi ID organisasi Anda.

Membuat batasan

1. Untuk menentukan batasan yang menolak semua pembuatan dan pembaruan project jika project ID tidak dimulai dengan dev_, buat constraint-allow-dev-projects.yaml dengan konten berikut:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.allowProjectForDevIdOnly
   resourceTypes:
   - cloudresourcemanager.googleapis.com/Project
   methodTypes:
   - CREATE
   - UPDATE
   condition: "resource.projectId.startsWith(\"dev_\")"
   actionType: ALLOW
   displayName: Allow dev_ projects
   description: All projects in the org should start with dev_.
   

   Ganti ORGANIZATION_ID dengan ID organisasi Anda.

2. Terapkan batasan:

   gcloud org-policies set-custom-constraint ~/constraint-allow-dev-projects.yaml
   

3. Pastikan batasan ada:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   Outputnya mirip dengan yang berikut ini:

   CUSTOM_CONSTRAINT                ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                                      DISPLAY_NAME
   custom.allowProjectForDevIdOnly  ALLOW        CREATE,UPDATE  cloudresourcemanager.googleapis.com/Project   Allow dev_ projects
   ...
   

Membuat kebijakan

1. Buat file policy-enable-dev-projects.yaml dengan kebijakan berikut:

   Name: organizations/ORGANIZATION_ID/policies/custom.allowProjectForDevIdOnly
   spec:
     rules:
     - enforce: true
   

   Ganti ORGANIZATION_ID dengan ID organisasi Anda.

2. Terapkan kebijakan:

   gcloud org-policies set-policy ~/policy-enable-dev-projects.yaml
   

3. Pastikan kebijakan ada:

   gcloud org-policies list --organization=ORGANIZATION_ID
   

   Outputnya mirip dengan hal berikut ini:

   CONSTRAINT                        LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.allowProjectForDevIdOnly   -              SET               COCsm5QGENiXi2E=
   

Setelah Anda menerapkan kebijakan, Google Cloud memerlukan waktu sekitar dua menit untuk mulai menerapkan kebijakan tersebut.

Menguji kebijakan

Buat project dengan project ID sampleDemoProject di organisasi:

gcloud projects create sampleDemoProject \
    --organization=ORGANIZATION_ID

Outputnya adalah sebagai berikut:

PERMISSION_DENIED: The caller does not have permission

Contoh kebijakan organisasi kustom untuk kasus penggunaan umum

Tabel berikut memberikan sintaksis beberapa batasan khusus untuk kasus penggunaan umum:

      name: organizations/ORGANIZATION_ID/customConstraints/custom.disableNewProjectInSecureAdminFolder
      resourceTypes:
      - cloudresourcemanager.googleapis.com/Project
      methodTypes:
      - CREATE
      condition: "resource.parent == "organizations/1234""
      actionType: DENY
      displayName: Disable new project creation in the secure admin folder
      description: Do not allow creation of new projects in the secure folders.
      

      name: organizations/ORGANIZATION_ID/customConstraints/custom.disableFolderCreation
      resourceTypes:
      - cloudresourcemanager.googleapis.com/Folder
      methodTypes:
      - CREATE
      condition: "resource.parent.startsWith("folders")"
      actionType: DENY
      displayName: Disable creation of a folder inside another folder
      description: Do not allow creation of a folder within another folder when
                   the resource hierarchy is set to a maximum value of 1.
      

Resource yang didukung Resource Manager

Langkah berikutnya

• Pelajari lebih lanjut Layanan Kebijakan Organisasi.
• Pelajari lebih lanjut cara membuat dan mengelola kebijakan organisasi.
• Lihat daftar lengkap batasan kebijakan organisasi terkelola.