Limitazione delle località delle risorse

Panoramica

Questa guida descrive come impostare una policy dell'organizzazione che includa il vincolo delle località delle risorse.

Puoi limitare la posizione fisica di una nuova risorsa con il vincolo per le località delle risorse del servizio Organization Policy Service. Puoi utilizzare la proprietà location di una risorsa per identificare dove viene implementata e gestita dal servizio. Per le risorse contenenti dati di alcuni servizi, questa proprietà riflette anche la posizione in cui vengono archiviati i dati. Google Cloud Questo vincolo ti consente di definire le località Google Cloud consentite in cui è possibile creare le risorse per i servizi supportati nella tua gerarchia.

Dopo aver definito le località delle risorse, questa limitazione verrà applicata solo alle risorse appena create. Le risorse create prima dell'impostazione del vincolo delle località delle risorse continueranno a esistere e a svolgere la loro funzione.

Un criterio che include questo vincolo non verrà applicato alla creazione di risorse secondarie per determinati servizi, come Cloud Storage e Dataproc.

Limitazioni

Il vincolo del servizio criteri dell'organizzazione per le località delle risorse controlla la possibilità di creare risorse per le quali è possibile selezionare una località. Questo vincolo non influisce sulla posizione in cui vengono create le risorse globali, come gli indirizzi globali di Compute Engine o le risorse che non supportano la selezione di una località.

Per evitare di interrompere l'infrastruttura di pubblicazione esistente, devi testare qualsiasi nuova policy su progetti e cartelle non di produzione, quindi applicarla gradualmente all'interno dell'organizzazione.

Per gli impegni relativi all'archiviazione dei dati, consulta i Termini di servizio diGoogle Cloud e i Termini specifici del servizio. Le policy dell'organizzazione che contengono il vincolo delle località delle risorse non sono impegni di archiviazione dei dati.

Questo vincolo si applica a un sottoinsieme specifico di prodotti e tipi di risorse. Per un elenco dei servizi supportati e dettagli sul comportamento di ciascun servizio, consulta la pagina Servizi supportati dalle località delle risorse.

Tipi di località

Puoi eseguire il deployment delle risorse Google Cloud nei tipi di località che rappresentano diverse categorie di dimensioni. Il tipo di località più grande è multi-region, che include più di un region. Ogni region è ulteriormente suddiviso in zones. Per saperne di più su regioni e zone, consulta la panoramica di regioni e zone.

• Le località Multi-region sono supportate da risorse fisiche in più di un region e vengono in genere utilizzate solo da risorse basate sullo spazio di archiviazione. Alcuni esempi includono us, asia, europe e global.

• Le località Region sono isolate geograficamente l'una dall'altra. Alcuni esempi includono us-west1 (Oregon), asia-northeast1 (Tokyo) e europe-west1 (Belgio).

• Le località Zone sono il tipo di località più granulare e isolato utilizzato per il deployment delle risorse. Un zone è un dominio in errore indipendente all'interno di un region. Alcuni esempi sono us-east1-b, us-west1-b e asia-northeast1-a.

Quando configuri le località, devi utilizzare il prefisso in: e un gruppo di valori. L'utilizzo di un gruppo di valori curato da Google Cloud ti consente di scegliere una o più località geografiche, senza dover specificare le località Cloud attuali o future.

Il prefisso in: di un gruppo di valori specifica che tutti i valori esistenti all'interno del gruppo di valori sono considerati parte delle norme. Se inserisci un valore di gruppo o una regione Google Cloud senza il prefisso, il prefisso in: verrà aggiunto automaticamente, in base a queste regole:

• Se inserisci una località che utilizza il prefisso in: e contiene un gruppo non valido, la modifica delle norme non andrà a buon fine.
• Se inserisci una località che è una regione, ad esempio us-east1, verrà aggiunto il prefisso in:, che in questo esempio diventa in:us-east1-locations.
• Se inserisci un gruppo di valori di regione o multi-regione come us-locations, verrà aggiunto il prefisso in:, per ottenere in:us-locations in questo esempio.
• Se inserisci una zona o una regione multipla come us-east1-b o us, i valori non verranno modificati.

Impostazione del criterio dell'organizzazione

Il vincolo relativo alle località delle risorse è un tipo di vincolo gestito legacy con regole di elenco. Puoi aggiungere e rimuovere località dagli elenchi allowed_values o denied_values di un vincolo di località delle risorse. Per evitare che le policy dell'organizzazione limitino in modo imprevisto il comportamento del servizio man mano che vengono aggiunte nuove località all'elenco disponibile, utilizza un gruppo di valori o un elenco di allowed_values che rappresentano l'intero confine geografico che vuoi definire.

Per impostare un criterio dell'organizzazione che includa un vincolo delle località delle risorse:

name: organizations/ORGANIZATION_ID/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

gcloud org-policies set-policy POLICY_PATH

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:us-east1-locations
      - in:northamerica-northeast1-locations

curl -X POST -H "Content-Type: application/json" -H "Authorization: \
Bearer ${bearer_token}" -d '{policy: {etag: "BwVtXec438Y=", constraint: \
"constraints/gcp.resourceLocations", list_policy: {denied_values: \
["in:europe-locations", "in:southamerica-locations"] }}}' \
https://cloudresourcemanager.googleapis.com/v1/organizations/123456789:setOrgPolicy

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      deniedValues:
      - in:europe-locations
      - in:southamerica-locations

Per scoprire di più sull'utilizzo dei vincoli nei criteri dell'organizzazione, consulta la sezione Utilizzo dei vincoli.

Utilizzo dell'ereditarietà nei criteri dell'organizzazione

Puoi perfezionare il criterio dell'organizzazione per ereditare il criterio dell'organizzazione dai nodi padre della risorsa. L'ereditarietà ti offre un controllo granulare sui criteri dell'organizzazione utilizzati in tutta la gerarchia delle risorse.

Per abilitare l'ereditarietà in un nodo risorsa, imposta inheritFromParent = true nel file YAML dei criteri dell'organizzazione. Ad esempio:

name: organizations/01234567890/policies/gcp.resourceLocations
spec:
  inheritFromParent: true
  rules:
  - values:
      deniedValues:
      - in:us-west1

Esempio di messaggio di errore

I servizi che supportano il vincolo della località della risorsa non possono creare nuove risorse in località che violerebbero il vincolo. Se un servizio tenta di creare una risorsa in una località che viola il vincolo, il tentativo non andrà a buon fine e verrà generato un messaggio di errore.

Questo messaggio di errore avrà il seguente formato: LOCATION_IN_REQUEST violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_TESTED.

Nell'esempio seguente, una risorsa Compute Engine non riesce a creare una nuova istanza a causa dell'applicazione dei criteri:

Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations
on the resource
projects/policy-violation-test/zones/us-east1-b/instances/instance-3.

Voce di log di Google Cloud Observability e Cloud Audit Logs:

{
 insertId: "5u759gdngec"
 logName: "projects/policy-violation-test/logs/cloudaudit.googleapis.com%2Factivity"
 protoPayload: {
  @type: "type.googleapis.com/google.cloud.audit.AuditLog"
  authenticationInfo: {…}
  authorizationInfo: [6]
  methodName: "beta.compute.instances.insert"
  request: {…}
  requestMetadata: {…}
  resourceLocation: {…}
  resourceName: "projects/policy-violation-test/zones/us-east1-b/instances/instance-3"
  response: {
   @type: "type.googleapis.com/error"
   error: {
    code: 412
    errors: [
     0: {
      domain: "global"
      location: "If-Match"
      locationType: "header"
      message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
      reason: "conditionNotMet"
     }
    ]
    message: "Location ZONE:us-east1-b violates constraint constraints/gcp.resourceLocations on the resource projects/policy-violation-test/zones/us-east1-b/instances/instance-3."
   }
  }
  serviceName: "compute.googleapis.com"
  status: {
   code: 3
   message: "INVALID_ARGUMENT"
  }
 }
 receiveTimestamp: "2019-06-14T03:04:23.660988360Z"
 resource: {
  labels: {…}
  type: "gce_instance"
 }
 severity: "ERROR"
 timestamp: "2019-06-14T03:04:22.783Z"
}

Risultati di vulnerabilità e correzione

Il vincolo di località delle risorse limita la creazione di risorse in fase di runtime. Questa funzionalità aiuta a prevenire le violazioni della posizione, ma non identifica né corregge le violazioni esistenti. Puoi utilizzare Security Health Analytics, un servizio integrato di Security Command Center, per rilevare violazioni della località nella gerarchia delle risorse. Per ulteriori informazioni, consulta Risultati delle vulnerabilità di Policy dell'organizzazione.

Se sono presenti risultati di Security Health Analytics relativi a violazioni della posizione, consulta la sezione Correzione dei risultati di Security Health Analytics per i passaggi da seguire per correggere questi risultati.

Gruppi di valori

I gruppi di valori sono raccolte di gruppi e località curate da Google per offrire una soluzione semplice al fine di definire le località delle tue risorse. I gruppi di valori includono molte sedi correlate e vengono espansi nel tempo da Google senza che sia necessario modificare le norme dell'organizzazione per includere le nuove sedi.

Per utilizzare i gruppi di valori nelle policy dell'organizzazione, aggiungi il prefisso in: alle voci. Per ulteriori informazioni sull'utilizzo dei prefissi dei valori, consulta la sezione Utilizzare i vincoli. I nomi dei gruppi vengono convalidati nella chiamata per impostare il criterio dell'organizzazione. L'utilizzo di un nome di gruppo non valido causerà l'errore dell'impostazione del criterio.

La seguente tabella contiene l'elenco attuale dei gruppi disponibili:

Autenticazione

Organization Policy Service utilizza OAuth 2.0 per l'autenticazione e l'autorizzazione delle API. Per ottenere un token di connessione OAuth 2.0:

1. Vai alla pagina di OAuth 2.0 Playground.

2. Nell'elenco degli ambiti del Passaggio 1, seleziona API Cloud Resource Manager v2 > https://www.googleapis.com/auth/cloud-platform, e poi fai clic su Autorizza API.

3. Nella pagina Accedi con Google visualizzata, seleziona il tuo account e accedi.

4. Per fornire l'accesso a Google OAuth 2.0 Playground, fai clic su Consenti nel prompt visualizzato.

5. Nel passaggio 2, fai clic su Exchange authorization code for tokens (Scambia codice di autorizzazione per i token).

6. In fondo al riquadro Richiesta / Risposta a destra, viene visualizzata la stringa del token di accesso:

   {
     "access_token": "ACCESS_TOKEN",
     "token_type": "Bearer",
     "expires_in": 3600
   }
   

   Dove ACCESS_TOKEN è la stringa del token di autenticazione OAuth 2.0 che puoi utilizzare per l'autorizzazione API.