Gérer les ressources Cloud Storage à l'aide de contraintes personnalisées

Console

1. Dans la console Google Cloud, accédez à la page Règles d'administration.

   Accéder à la page Règles d'administration

2. Sélectionnez l'outil de sélection de projets en haut de la page.

3. Dans l'outil de sélection de projets, sélectionnez la ressource pour laquelle vous souhaitez définir la règle d'administration.

4. Cliquez sur add Contrainte personnalisée.

5. Dans le champ Nom à afficher, saisissez un nom convivial pour la contrainte. Ce champ ne doit pas comporter plus de 200 caractères. N'utilisez pas d'informations personnelles ni de données sensibles dans les noms de contraintes, car ils pourraient être exposés dans des messages d'erreur.

6. Dans la zone ID de contrainte, saisissez le nom souhaité pour votre nouvelle contrainte personnalisée. Une contrainte personnalisée doit commencer par custom. et ne peut inclure que des lettres majuscules, minuscules ou des chiffres, comme par exemple custom.enforceBucketVersioning. La longueur maximale de ce champ est de 70 caractères, sans compter le préfixe, comme par exemple organizations/123456789/customConstraints/custom..

7. Dans le champ Description, saisissez pour la contrainte une description conviviale qui sera affichée dans un message d'erreur en cas de non-respect de la règle. Ce champ ne doit pas comporter plus de 2 000 caractères.

8. Dans le champ Type de ressource, sélectionnez le nom de la ressource REST Google Cloud contenant l'objet et le champ que vous souhaitez restreindre. Exemple : storage.googleapis.com/Bucket.

9. Sous Méthode d'application, indiquez si vous souhaitez appliquer la contrainte sur la méthode REST CREATE ou UPDATE.

10. Pour définir une condition, cliquez sur edit Modifier la condition.

    1. Dans le panneau Ajouter une condition, créez une condition CEL faisant référence à une ressource de service acceptée, par exemple resource.versioning.enabled == true. Ce champ ne doit pas comporter plus de 2 000 caractères.

    2. Cliquez sur Enregistrer.

11. Sous Action, indiquez si vous souhaitez autoriser ou refuser la méthode évaluée si la condition est remplie.

12. Cliquez sur Créer une contrainte.

Lorsque vous saisissez une valeur dans chaque champ, la configuration YAML équivalente pour cette contrainte personnalisée s'affiche sur la droite.

gcloud

Pour créer une contrainte personnalisée à l'aide de Google Cloud CLI, créez un fichier YAML pour la contrainte personnalisée :

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Remplacez les éléments suivants :

• ORGANIZATION_ID : ID de votre organisation (par exemple, 123456789).

• CONSTRAINT_NAME : nom souhaité pour votre nouvelle contrainte personnalisée. Une contrainte personnalisée doit commencer par custom. et ne peut inclure que des lettres majuscules, minuscules ou des chiffres, comme par exemple custom.enforceBucketVersioning. La longueur maximale de ce champ est de 70 caractères, sans compter le préfixe, comme par exemple organizations/123456789/customConstraints/custom..

• RESOURCE_NAME : nom complet de la ressource REST Google Cloud contenant l'objet et le champ que vous souhaitez restreindre. Exemple :storage.googleapis.com/Bucket

• METHOD1,METHOD2 : liste des méthodes RESTful pour lesquelles la contrainte est appliquée. Il peut s'agir de CREATE, ou de CREATE et de UPDATE.

• CONDITION : condition CEL faisant référence à une ressource de service compatible, par exemple "resource.versioning.enabled == true". Ce champ ne doit pas comporter plus de 1 000 caractères. Pour en savoir plus sur l'utilisation du langage CEL, consultez la page Common Expression Language.

• ACTION : action à effectuer si la condition est remplie. Peut être défini sur ALLOW ou DENY.

• DISPLAY_NAME : nom convivial de la contrainte. Ce champ ne doit pas comporter plus de 200 caractères.

• DESCRIPTION : description conviviale de la contrainte, qui sera affichée dans un message d'erreur en cas de non-respect de la règle. Ce champ ne doit pas comporter plus de 2 000 caractères.

Après avoir créé le fichier YAML pour une nouvelle contrainte personnalisée, vous devez le configurer de sorte qu'il soit disponible pour les règles d'administration de votre organisation. Pour configurer une contrainte personnalisée, utilisez la commande gcloud org-policies set-custom-constraint :

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Si la requête aboutit, le résultat est semblable à ceci:

CUSTOM_CONSTRAINT             ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                     DISPLAY_NAME
custom.uniformBucketLevelAccess  DENY         CREATE,UPDATE  storage.googleapis.com/Bucket  Enable object versioning

gcloud

1. Créez un fichier de contrainte enforceCMEK.yaml contenant les informations suivantes :

   name: organizations/ORGANIZATION_ID/customConstraints/custom.customerManagedEncryptionKeys
   resource_types: storage.googleapis.com/Bucket
   method_types:
   – CREATE
   – UPDATE
   condition: "has(resource.encryption.defaultKmsKeyName)"
   action_type: ALLOW
   display_name: Enforce Cloud KMS key
   description: When this constraint is enforced, newly created buckets and newly updated buckets must be encrypted with a
   Cloud KMS key. The Cloud KMS key on existing buckets can be updated but not deleted.

2. Définissez la contrainte personnalisée.

   gcloud org-policies set-custom-constraint enforceCMEK.yaml
   

3. Créez un fichier de règle enforceCMEK-policy.yaml avec les informations ci-dessous.

   name: projects/PROJECT_ID/policies/custom.customerManagedEncryptionKeys
   spec:
     rules:
     – enforce: true

   Remplacez PROJECT_ID par l'ID du projet.

   Dans cet exemple, nous appliquons cette contrainte au niveau d'un projet, mais vous pouvez également la définir au niveau de l'organisation ou d'un dossier.

4. Appliquez la règle.

   gcloud org-policies set-policy enforceCMEK-policy.yaml