Membatasi Lokasi Resource

Ringkasan

Panduan ini menjelaskan cara menyetel kebijakan organisasi yang mencakup batasan lokasi resource.

Anda dapat membatasi lokasi fisik resource baru dengan batasan lokasi resource Layanan Kebijakan Organisasi. Anda dapat menggunakan properti lokasi resource untuk mengidentifikasi lokasi resource di-deploy dan dikelola oleh layanan. Untuk resource yang berisi data dari beberapa layanan, properti ini juga mencerminkan lokasi tempat data disimpan. Google Cloud Batasan ini memungkinkan Anda menentukan lokasi Google Cloud yang diizinkan tempat resource untuk layanan yang didukung dalam hierarki Anda dapat dibuat.

Setelah Anda menentukan lokasi resource, batasan ini hanya akan berlaku untuk resource yang baru dibuat. Resource yang Anda buat sebelum menetapkan batasan lokasi resource akan terus ada dan menjalankan fungsinya.

Kebijakan yang mencakup batasan ini tidak akan diterapkan pada pembuatan sub-resource untuk layanan tertentu, seperti Cloud Storage dan Dataproc.

Batasan

Batasan Layanan Kebijakan Organisasi lokasi resource mengontrol kemampuan untuk membuat resource yang lokasinya dapat dipilih. Batasan ini tidak memengaruhi tempat resource global, seperti alamat global Compute Engine, atau resource yang tidak mendukung pemilihan lokasi dibuat.

Agar tidak merusak infrastruktur penayangan yang ada, Anda harus menguji kebijakan baru di project dan folder non-produksi, lalu menerapkan kebijakan secara bertahap dalam organisasi Anda.

Untuk mengetahui komitmen penyimpanan data, lihat Google Cloud Persyaratan Layanan dan Persyaratan Khusus Layanan. Kebijakan organisasi yang berisi batasan lokasi resource bukanlah komitmen penyimpanan data.

Batasan ini berlaku untuk subset produk dan jenis resource tertentu. Untuk daftar layanan yang didukung dan detail tentang perilaku setiap layanan, lihat halaman Layanan yang Didukung Lokasi Resource.

Jenis lokasi

Anda dapat men-deploy resource Google Cloud dalam jenis lokasi yang merepresentasikan berbagai kategori ukuran. Jenis lokasi terbesar adalah multi-region, yang mencakup lebih dari satu region. Setiap region dibagi lagi menjadi zones. Untuk mengetahui informasi selengkapnya tentang region dan zona, lihat Ringkasan Region dan Zona.

• Lokasi Multi-region didukung oleh resource fisik di lebih dari satu region dan biasanya hanya digunakan oleh resource berbasis penyimpanan. Beberapa contohnya meliputi us, asia, europe, dan global.

• Lokasi Region terisolasi secara geografis satu sama lain. Beberapa contohnya antara lain us-west1 (Oregon), asia-northeast1 (Tokyo), dan europe-west1 (Belgia).

• Lokasi Zone adalah jenis lokasi paling terperinci dan terisolasi yang digunakan untuk men-deploy resource. zone adalah domain kegagalan independen dalam region. Beberapa contohnya adalah us-east1-b, us-west1-b, dan asia-northeast1-a.

Saat menyiapkan lokasi, Anda harus menggunakan awalan in: dan Grup Nilai. Dengan menggunakan Grup Nilai yang dipilih oleh Google Cloud Anda dapat memilih lokasi geografis, tanpa harus menentukan lokasi Cloud saat ini atau di masa mendatang.

Awalan in: pada Grup Nilai menentukan bahwa semua nilai yang ada dalam grup nilai dianggap sebagai bagian dari kebijakan. Jika Anda memasukkan nilai grup atau wilayah Google Cloud tanpa awalan, awalan in: akan otomatis ditambahkan, sesuai dengan aturan berikut:

• Jika Anda memasukkan lokasi yang menggunakan awalan in:, dan berisi grup yang tidak valid, perubahan kebijakan akan gagal.
• Jika Anda memasukkan lokasi yang merupakan region, seperti us-east1, awalan in: akan ditambahkan, menjadi in:us-east1-locations dalam contoh ini.
• Jika Anda memasukkan grup nilai region atau multi-region seperti us-locations, grup tersebut akan memiliki awalan in:, menjadi in:us-locations dalam contoh ini.
• Jika Anda memasukkan zona atau multi-region seperti us-east1-b atau us, nilai tidak akan diubah.

Menetapkan kebijakan organisasi

Batasan lokasi resource adalah jenis batasan terkelola lama dengan aturan daftar. Anda dapat menambahkan dan menghapus lokasi dari daftar allowed_values atau denied_values batasan lokasi resource. Untuk mencegah kebijakan organisasi membatasi perilaku layanan secara tidak terduga saat lokasi baru ditambahkan ke daftar yang tersedia, gunakan grup nilai, atau daftar allowed_values yang merepresentasikan seluruh batas geografis yang ingin Anda tentukan.

Untuk menetapkan kebijakan organisasi yang menyertakan batasan lokasi resource:

name: organizations/ORGANIZATION_ID/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

gcloud org-policies set-policy POLICY_PATH

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

curl -X POST -H "Content-Type: application/json" -H "Authorization: \
Bearer ${bearer_token}" -d '{policy: {etag: "BwVtXec438Y=", constraint: \
"constraints/gcp.resourceLocations", list_policy: {denied_values: \
["in:europe-locations", "in:southamerica-locations"] }}}' \
https://cloudresourcemanager.googleapis.com/v1/organizations/123456789:setOrgPolicy

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:europe-locations
      - in:southamerica-locations

Untuk mempelajari cara menggunakan batasan dalam kebijakan organisasi, lihat Menggunakan Batasan.

Menggunakan pewarisan dalam kebijakan organisasi

Anda dapat menyempurnakan kebijakan organisasi untuk mewarisi kebijakan organisasi dari node induk resource. Pewarisan memberi Anda kontrol terperinci atas kebijakan organisasi yang digunakan di seluruh hierarki resource Anda.

Untuk mengaktifkan pewarisan pada node resource, tetapkan inheritFromParent = true dalam file YAML kebijakan organisasi. Contoh:

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  inheritFromParent: true
  rules:
  - values:
      deniedValues:
      - in:us-west1

Contoh pesan error

Layanan yang mendukung batasan lokasi resource dicegah untuk membuat resource baru di lokasi yang akan melanggar batasan. Jika layanan mencoba membuat resource di lokasi yang melanggar batasan, upaya tersebut akan gagal dan pesan error akan ditampilkan.

Pesan error ini akan memiliki format berikut: LOCATION_IN_REQUEST violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_TESTED.

Dalam contoh berikut, resource Compute Engine gagal membuat instance baru karena penerapan kebijakan:

Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations
on the resource
projects/policy-violation-test/zones/us-east1-b/instances/instance-3.

Entri log Google Cloud Observability dan Cloud Audit Logs:

{
 insertId: "5u759gdngec"
 logName: "projects/policy-violation-test/logs/cloudaudit.googleapis.com%2Factivity"
 protoPayload: {
  @type: "type.googleapis.com/google.cloud.audit.AuditLog"
  authenticationInfo: {…}
  authorizationInfo: [6]
  methodName: "beta.compute.instances.insert"
  request: {…}
  requestMetadata: {…}
  resourceLocation: {…}
  resourceName: "projects/policy-violation-test/zones/us-east1-b/instances/instance-3"
  response: {
   @type: "type.googleapis.com/error"
   error: {
    code: 412
    errors: [
     0: {
      domain: "global"
      location: "If-Match"
      locationType: "header"
      message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
      reason: "conditionNotMet"
     }
    ]
    message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
   }
  }
  serviceName: "compute.googleapis.com"
  status: {
   code: 3
   message: "INVALID_ARGUMENT"
  }
 }
 receiveTimestamp: "2019-06-14T03:04:23.660988360Z"
 resource: {
  labels: {…}
  type: "gce_instance"
 }
 severity: "ERROR"
 timestamp: "2019-06-14T03:04:22.783Z"
}

Temuan dan perbaikan kerentanan

Batasan lokasi resource membatasi pembuatan resource saat runtime. Fitur ini membantu mencegah terjadinya pelanggaran lokasi, tetapi tidak mengidentifikasi atau memperbaiki pelanggaran yang ada. Anda dapat menggunakan Security Health Analytics, layanan bawaan Security Command Center, untuk menemukan pelanggaran lokasi dalam hierarki resource Anda. Untuk mengetahui informasi selengkapnya, lihat Temuan kerentanan Kebijakan Organisasi.

Jika ada temuan pelanggaran lokasi Security Health Analytics, lihat Memperbaiki temuan Security Health Analytics untuk mengetahui langkah-langkah memperbaiki temuan tersebut.

Grup nilai

Grup nilai adalah kumpulan grup dan lokasi yang dipilih oleh Google untuk menyediakan cara yang mudah dalam menentukan lokasi resource Anda. Grup nilai mencakup banyak lokasi terkait dan diperluas dari waktu ke waktu oleh Google tanpa perlu mengubah kebijakan organisasi Anda untuk mengakomodasi lokasi baru.

Untuk menggunakan grup nilai dalam kebijakan organisasi Anda, beri awalan pada entri Anda dengan string in:. Untuk mengetahui informasi selengkapnya tentang penggunaan awalan nilai, lihat Menggunakan Batasan. Nama grup divalidasi saat panggilan untuk menetapkan kebijakan organisasi. Penggunaan nama grup yang tidak valid akan menyebabkan setelan kebijakan gagal.

Tabel berikut berisi daftar grup yang tersedia saat ini:

Autentikasi

Organization Policy Service menggunakan OAuth 2.0 untuk autentikasi dan otorisasi API. Untuk mendapatkan token pembawa OAuth 2.0:

1. Buka halaman OAuth 2.0 Playground.

2. Di daftar cakupan Langkah 1, pilih Cloud Resource Manager API v2 > https://www.googleapis.com/auth/cloud-platform, lalu klik Otorisasi API.

3. Di halaman Login dengan Google yang muncul, pilih akun Anda dan login.

4. Untuk memberikan akses ke Google OAuth 2.0 Playground, klik Izinkan pada dialog yang muncul.

5. Pada Langkah 2, klik Exchange authorization code for tokens.

6. Di bagian bawah panel Request / Response di sebelah kanan, string token akses Anda ditampilkan:

   {
     "access_token": "ACCESS_TOKEN",
     "token_type": "Bearer",
     "expires_in": 3600
   }
   

   Dengan ACCESS_TOKEN adalah string token pembawa OAuth 2.0 yang dapat Anda gunakan untuk otorisasi API.