カスタムの組織のポリシーを使用して VPC リソースを管理する

Google Cloud の組織のポリシーを使用すると、組織のリソースをプログラムで一元管理できます。組織ポリシー管理者は組織ポリシーを定義できます。組織ポリシーは、Google Cloud のリソース階層内の Google Cloud リソースやそれらのリソースの子孫に適用される、制約と呼ばれる一連の制限です。組織のポリシーは、組織レベル、フォルダレベル、またはプロジェクト レベルで適用できます。

組織のポリシーは、さまざまな Google Cloud サービスに事前に定義された制約を提供します。ただし、組織のポリシーで制限されている特定のフィールドをきめ細かく制御する必要がある場合は、カスタム制約を作成して、カスタムの組織のポリシーでそれらのカスタム制約を使用することもできます。

ポリシーの継承

デフォルトでは、組織のポリシーは、そのポリシーを適用したリソースの子孫に継承されます。たとえば、フォルダにポリシーを適用した場合、Google Cloud はそのフォルダ内のすべてのプロジェクトにそのポリシーを適用します。この動作の詳細と変更方法については、階層評価ルールをご覧ください。

Virtual Private Cloud でサポートされているリソース

VPC では、次のリソースとフィールドにカスタム制約を設定できます。

• ネットワーク: compute.googleapis.com/Network
  • 名前: resource.name
  • 説明: resource.description
  • モード: resource.autoCreateSubnetworks
  • MTU の設定: resource.mtu
  • ファイアウォールの適用順序: resource.networkFirewallPolicyEnforcementOrder
  • 内部 IPv6 の設定: resource.enableUlaInternalIpv6
  • 内部 IPv6 範囲: resource.internalIpv6Range
  • ルーティング モード: resource.routingConfig.routingMode
• サブネットワーク: compute.googleapis.com/Subnetwork
  • 名前: resource.name
  • 説明: resource.description
  • ネットワーク: resource.network
  • IP CIDR 範囲: resource.ipCidrRange
  • セカンダリ IP アドレス範囲: resource.secondaryIpRanges[]
    • 範囲名: resource.secondaryIpRanges[].rangeName
    • IP CIDR 範囲: resource.secondaryIpRanges[].ipCidrRange
  • スタックタイプ: resource.stackType
  • IPv6 アクセスタイプ: resource.ipv6AccessType
  • 限定公開の Google アクセスの設定: resource.privateIpGoogleAccess
  • サブネットの目的: resource.purpose
  • ロール: resource.role
  • VPC フローログ:
    • ロギング構成: resource.logConfig.enable
    • 集計間隔: resource.logConfig.aggregationInterval
    • サンプリング レート: resource.logConfig.flowSampling
    • メタデータ: resource.logConfig.metadata
    • メタデータのフィールド: resource.logConfig.metadataFields[]
    • フィルタ式: resource.logConfig.filterExpr
• ルート: compute.googleapis.com/Route
  • 名前: resource.name
  • 説明: resource.description
  • ネットワーク: resource.network
  • タグ: resource.tags
  • 送信先の範囲: resource.destRange
  • 優先度: resource.priority
  • ネクストホップのインスタンス: resource.nextHopInstance
  • ネクストホップの IP アドレス: resource.nextHopIp
  • ネクストホップのゲートウェイ: resource.nextHopGateway
  • ネクストホップの内部パススルー ネットワーク ロードバランサ: resource.nextHopIlb
  • ネクストホップ VPN トンネル: resource.nextHopVpnTunnel
• Packet Mirroring: compute.googleapis.com/PacketMirroring
  • 名前: resource.name
  • 説明: resource.description
  • ネットワーク URL: resource.network.url
  • 優先度: resource.priority
  • コレクタ ILB URL: resource.collectorIlb.url
  • ミラーリング対象のリソース:
    • サブネットワークの URL: resource.mirroredResources.subnetworks[].url
    • インスタンスの URL: resource.mirroredResources.instances[].url
    • タグ: resource.mirroredResources.tags[]
  • フィルタ:
    • CIDR 範囲: resource.filter.cidrRanges[]
    • IP プロトコル: resource.filter.IPProtocols[]
    • 方向: resource.filter.direction
  • 有効化: resource.enable

始める前に

• まだ設定していない場合は、認証を設定します。認証とは、Google Cloud のサービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のいずれかのオプションを選択して Compute Engine に対する認証を行います。
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  詳細については、Google Cloud 認証ドキュメントの REST を使用して認証するをご覧ください。

• 組織 ID を確認します。
• 制限事項を理解します。

必要なロール

VPC リソースの組織のポリシーを管理するために必要な権限を取得するには、管理者に次の IAM ロールを付与するよう依頼してください。

• 組織リソースに対する組織のポリシー管理者（roles/orgpolicy.policyAdmin）
• 制約をテストするには:
  • プロジェクトの Compute ネットワーク管理者（roles/compute.networkAdmin）
  • プロジェクトのサービス アカウント ユーザー（roles/iam.serviceAccountUser）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、VPC リソースの組織のポリシーを管理するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

カスタム制約を設定する

カスタム制約は、組織のポリシーを適用しているサービスでサポートされるリソース、メソッド、条件、アクションによって定義されます。カスタム制約の条件は、Common Expression Language（CEL）を使用して定義されます。CEL を使用してカスタム制約で条件を作成する方法については、カスタム制約の作成と管理の CEL セクションをご覧ください。

カスタム制約を作成し、Google Cloud コンソールまたは Google Cloud CLI を使用して組織のポリシーで使用するように設定できます。

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: compute.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

カスタム制約を適用する

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

例: ネットワークをカスタムモードに制限する制約を作成する

一般的なユースケースのカスタム制約の例

以下のセクションでは、役立つ可能性のあるカスタム制約の構文について説明します。

内部 IPv6 範囲をもつネットワークを要求する

name: organizations/ORGANIZATION_ID/customConstraints/custom.networkInternalIpv6Range
resourceTypes: compute.googleapis.com/Network
condition: "resource.enableUlaInternalIpv6 == true"
actionType: ALLOW
methodTypes: CREATE
displayName: Require networks to have an internal IPv6 range
description: Networks must have a ULA internal IPv6 range configured

10.0.0.0/8 の範囲を使用するサブネットを要求する

name: organizations/ORGANIZATION_ID/customConstraints/custom.subnetRangeUse10Slash8
resourceTypes: compute.googleapis.com/Subnetwork
condition: "resource.ipCidrRange.startsWith('10.')"
actionType: ALLOW
methodTypes: CREATE
displayName: Require subnets to use ranges in 10.0.0.0/8
description: Subnetwork's primary IPv4 range must come from 10.0.0.0/8

IP アドレスで指定された next-hop-ilb ルートを要求する

転送ルールのリソース名の代わりに IP アドレスを使用して指定される next-hop-ilb を使用するルートを要求します。

name: organizations/ORGANIZATION_ID/customConstraints/custom.routeNextHopIlbByIpAddress
resourceTypes: compute.googleapis.com/Route
condition: "!resource.nextHopIlb.contains('forwardingRules')"
actionType: ALLOW
methodTypes: CREATE
displayName: Require defining next-hop-ilb by IP address
description: Next hops that are an internal load balancer must be specified by IP address instead of resource name.

Packet Mirroring で TCP トラフィックのみをミラーリングする

name: organizations/ORGANIZATION_ID/customConstraints/custom.packetMirroringTcpFilter
resourceTypes: compute.googleapis.com/PacketMirroring
condition: "resource.filter.IPProtocols.size() == 1 && resource.filter.IPProtocols[0] == 'tcp'"
actionType: ALLOW
methodTypes:
  - CREATE
  - UPDATE
displayName: Require policies to mirror TCP protocol only.
description: Packet mirroring must mirror all TCP traffic and no other protocols.

料金

事前定義の組織のポリシーやカスタムの組織のポリシーを含む組織のポリシー サービスは料金なしで利用できます。

制限事項

• カスタム制約は、ルート リソースの CREATE メソッドにのみ適用されます。

次のステップ

• 組織ポリシー サービスの概要
• 組織のポリシーの作成と管理
• 組織ポリシーの制約