このページでは、組織のポリシー サービスのカスタム制約を使用して、次の Google Cloud リソースに対する特定のオペレーションを制限する方法について説明します。
workstations.googleapis.com/WorkstationClusterworkstations.googleapis.com/WorkstationConfigworkstations.googleapis.com/Workstation
組織のポリシーの詳細については、カスタムの組織のポリシーをご覧ください。
組織のポリシーと制約について
Google Cloud 組織のポリシー サービスを使用すると、組織のリソースをプログラマティックに一元管理できます。組織のポリシー管理者は組織のポリシーを定義できます。組織のポリシーは、Google Cloud リソース階層内のGoogle Cloud リソースやそれらのリソースの子孫に適用される、制約と呼ばれる一連の制限です。組織のポリシーは、組織、フォルダ、プロジェクトのいずれかの単位で適用できます。
組織のポリシーを利用することで、あらかじめ用意されたマネージド制約をさまざまな Google Cloud サービスに適用できます。ただし、組織のポリシーで制限されている特定の項目をより細かくカスタマイズして制御したい場合は、カスタム制約を作成して、それを組織のポリシーで使うこともできます。
ポリシーの継承
デフォルトでは、組織のポリシーは、そのポリシーを適用したリソースの子孫に継承されます。たとえば、フォルダにポリシーを適用した場合、 Google Cloud はそのフォルダ内のすべてのプロジェクトにそのポリシーを適用します。この動作の詳細と変更方法については、階層評価ルールをご覧ください。
始める前に
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the
gcloudCLI with your federated identity. -
To initialize the
gcloudCLI, run the following command:gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the
gcloudCLI with your federated identity. -
To initialize the
gcloudCLI, run the following command:gcloud init - 組織 ID を確認します。
ORGANIZATION_ID: 組織 ID（123456789など）。CONSTRAINT_NAME: 新しいカスタム制約に付ける名前。カスタム制約はcustom.で始まる必要があり、大文字、小文字、数字のみを含めることができます。例:custom.workstationsPrivateGatewayClusters。このフィールドの最大長は 70 文字です。RESOURCE_NAME: 制限するオブジェクトとフィールドを含むGoogle Cloud リソースの完全修飾名。例:workstations.googleapis.com/WorkstationClusterCONDITION: サポート対象のサービス リソースの表現に対して書き込まれる CEL 条件。このフィールドの最大長は 1,000 文字です。条件の書き込み先として使用できるリソースの詳細については、サポート対象のリソースをご覧ください。例:resource.privateClusterConfig.enablePrivateEndpoint == trueACTION:conditionが満たされている場合に実行するアクション。有効な値はALLOWとDENYです。DISPLAY_NAME: 制約の名前。わかりやすい名前を入力してください。このフィールドの最大長は 200 文字です。DESCRIPTION: ポリシー違反時にエラー メッセージとして表示される制約の説明。わかりやすい説明を入力してください。このフィールドの最大長は 2,000 文字です。- Google Cloud コンソールで [組織のポリシー] ページに移動します。
- プロジェクト選択ツールで、組織のポリシーを設定するプロジェクトを選択します。
- [組織のポリシー] ページのリストで制約を選択して、その制約の [ポリシーの詳細] ページを表示します。
- このリソースの組織のポリシーを構成するには、[ポリシーを管理] をクリックします。
- [ポリシーの編集] ページで、[Override parent's policy] を選択します。
- [ルールを追加] をクリックします。
- [適用] セクションで、この組織のポリシーの適用を有効にするかどうかを選択します。
- 省略可: タグで組織のポリシーに条件を設定するには、[条件を追加] をクリックします。組織のポリシーに条件付きルールを追加する場合は、少なくとも 1 つは無条件のルールを追加する必要があります。そうしないとポリシーを保存できないのでご注意ください。詳細については、タグ付きの組織のポリシーの設定をご覧ください。
- [変更内容をテスト] をクリックして、組織のポリシーの効果をシミュレートします。以前のマネージド制約ではポリシー シミュレーションを使用できません。詳細については、Policy Simulator で組織のポリシーの変更をテストするをご覧ください。
- 組織のポリシーを完成させて適用するには、[ポリシーを設定] をクリックします。ポリシーが有効になるまでに最大 15 分かかります。
-
PROJECT_ID: 制約を適用するプロジェクト。 -
CONSTRAINT_NAME: カスタム制約に定義した名前。たとえば、custom.workstationsPrivateGatewayClustersのようにします。 - 組織の ID
- プロジェクト ID
次のファイルに
constraint-ws-private-gateway.yamlという名前を付けて保存します。name: organizations/ORGANIZATION_ID/customConstraints/custom.workstationsPrivateGatewayClusters resourceTypes: - workstations.googleapis.com/WorkstationCluster methodTypes: - CREATE - UPDATE condition: resource.privateClusterConfig.enablePrivateEndpoint == true actionType: ALLOW displayName: Require workstation cluster to enable private gateway endpoint description: All workstation clusters must enable private gateway endpointこれにより、新しいワークステーション クラスタごとに、パブリック ゲートウェイが有効になっている場合にオペレーションが拒否される制約が定義されます。
制約を適用します。
gcloud org-policies set-custom-constraint ~/constraint-ws-private-gateway.yaml制約が存在することを確認します。
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID出力は次のようになります。
CUSTOM_CONSTRAINT ACTION_TYPE METHOD_TYPES RESOURCE_TYPES DISPLAY_NAME custom.workstationsPrivateGatewayClusters DENY CREATE,UPDATE workstations.googleapis.com/WorkstationCluster Require workstation cluster to enable private gateway endpoint ...次のファイルに
policy-ws-private-gateway.yamlという名前を付けて保存します。name: projects/PROJECT_ID/policies/custom.workstationsPrivateGatewayClusters spec: rules: - enforce: truePROJECT_IDは、実際のプロジェクト ID に置き換えます。ポリシーを適用します。
gcloud org-policies set-policy ~/policy-ws-private-gateway.yamlポリシーが存在することを確認します。
gcloud org-policies list --project=PROJECT_ID出力は次のようになります。
CONSTRAINT LIST_POLICY BOOLEAN_POLICY ETAG custom.workstationsPrivateGatewayClusters - SET COCsm5QGENiXi2E=CLUSTER: クラスタ ID（例:
public-gateway-cluster）REGION: リージョン ID（例:
us-central1）- 組織のポリシー サービスについて詳細を学習する。
- 組織のポリシーの作成と管理の方法について学習する。
- マネージドの組織のポリシーの制約全一覧を参照する。
必要なロール
カスタムの組織のポリシーを管理するために必要な権限を取得するには、組織のリソースに対する組織のポリシー管理者（roles/orgpolicy.policyAdmin）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。
必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
カスタム制約を作成する
カスタム制約は、組織のポリシーを適用しているサービスでサポートされるリソース、メソッド、条件、アクションを使用して YAML ファイルで定義されます。カスタム制約の条件は、Common Expression Language（CEL）を使用して定義されます。CEL を使用してカスタム制約で条件を作成する方法については、カスタム制約の作成と管理の CEL セクションをご覧ください。
カスタム制約を作成するには、次の形式で YAML ファイルを作成します。
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
次のように置き換えます。
カスタム制約の作成方法については、カスタム制約の定義をご覧ください。
カスタム制約を設定する
新しいカスタム制約の YAML ファイルを作成したら、組織内の組織のポリシーで使用できるように設定する必要があります。カスタム制約を設定するには、gcloud org-policies set-custom-constraint コマンドを使用します。gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH は、カスタム制約ファイルのフルパスに置き換えます。例: /home/user/customconstraint.yaml
完了すると、カスタム制約が組織のポリシーとして Google Cloud 組織のポリシーのリストに表示されます。カスタム制約が存在することを確認するには、gcloud org-policies list-custom-constraints コマンドを使用します。gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID は、組織リソースの ID に置き換えます。詳細については、組織のポリシーの表示をご覧ください。カスタムの組織のポリシーを適用する
制約を適用するには、それを参照する組織のポリシーを作成し、その組織のポリシーを Google Cloud リソースに適用します。コンソール
gcloud
ブール型ルールを含む組織のポリシーを作成するには、制約を参照するポリシー YAML ファイルを作成します。
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
次のように置き換えます。
制約を含む組織のポリシーを適用するには、次のコマンドを実行します。
gcloud org-policies set-policy POLICY_PATH
POLICY_PATH は、組織のポリシーの YAML ファイルのパスに置き換えます。ポリシーが有効になるまでに最大 15 分かかります。
カスタム組織のポリシーをテストする
次の例では、特定のプロジェクト内のすべての新しいワークステーション クラスタでプライベート ゲートウェイ エンドポイントを有効にすることを要求するカスタムの制約とポリシーを作成します。
始める前に、以下を把握しておく必要があります。
制約を作成する
ポリシーを作成する
ポリシーを適用したら、 Google Cloud がポリシーの適用を開始するまで 2 分ほど待ちます。
ポリシーのテスト
パブリック ゲートウェイを含むワークステーション クラスタでポリシーをテストするには、クラスタを作成します。
gcloud workstations clusters create CLUSTER --region=REGION
次のように置き換えます。
出力は次のようになります。
Operation denied by custom org policies: ["customConstraints/custom.workstationsPrivateGatewayClusters": "All workstation clusters must enable private gateway endpoint"]
クラスタを正常に作成するには、gcloud workstations clusters create コマンドに --enable-private-endpoint フラグを追加します。
gcloud workstations clusters create CLUSTER --region=REGION --enable-private-endpoint
一般的なユースケースのカスタム組織ポリシーの例
次の表に、一般的なユースケースのカスタム制約の構文を示します。
| 説明 | 制約の構文 |
|---|---|
| ワークステーション クラスタでプライベート ゲートウェイ エンドポイントを有効にする必要があります。 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.workstationsPrivateGatewayClusters resourceTypes: - workstations.googleapis.com/WorkstationCluster methodTypes: - CREATE - UPDATE condition: "resource.privateClusterConfig.enablePrivateEndpoint == true" actionType: ALLOW displayName: Require workstation cluster to enable private gateway endpoint description: All workstation clusters must enable private gateway endpoint |
| ワークステーション構成で TCP 接続を無効にする必要があります。 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.workstationConfigDisableTcpConnections resourceTypes: - workstations.googleapis.com/WorkstationConfig methodTypes: - CREATE - UPDATE condition: "resource.disableTcpConnections == true" actionType: ALLOW displayName: Require workstation configs to disable TCP connections description: All workstation configs must disable TCP connections |
| ワークステーション VM への SSH アクセスを無効にするために、ワークステーション構成を必須にします。 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.workstationConfigDisableSsh resourceTypes: - workstations.googleapis.com/WorkstationConfig methodTypes: - CREATE - UPDATE condition: "resource.host.gceInstance.disableSsh == true" actionType: ALLOW displayName: Require workstation configs to disable SSH access to workstation VMs description: All workstation configs must disable SSH access to workstation VMs |
Cloud Workstations でサポートされているリソース
次の表に、カスタム制約で参照できる Cloud Workstations リソースを示します。| リソース | フィールド |
|---|---|
| workstations.googleapis.com/Workstation |
resource.annotations
|
resource.displayName
| |
resource.env
| |
resource.name
| |
resource.sourceWorkstation
| |
| workstations.googleapis.com/WorkstationCluster |
resource.annotations
|
resource.displayName
| |
resource.domainConfig.domain
| |
resource.name
| |
resource.network
| |
resource.privateClusterConfig.allowedProjects
| |
resource.privateClusterConfig.enablePrivateEndpoint
| |
resource.subnetwork
| |
resource.tags
| |
| workstations.googleapis.com/WorkstationConfig |
resource.allowedPorts.first
|
resource.allowedPorts.last
| |
resource.annotations
| |
resource.container.args
| |
resource.container.command
| |
resource.container.env
| |
resource.container.image
| |
resource.container.runAsUser
| |
resource.container.workingDir
| |
resource.disableTcpConnections
| |
resource.displayName
| |
resource.enableAuditAgent
| |
resource.encryptionKey.kmsKey
| |
resource.encryptionKey.kmsKeyServiceAccount
| |
resource.ephemeralDirectories.gcePd.diskType
| |
resource.ephemeralDirectories.gcePd.readOnly
| |
resource.ephemeralDirectories.gcePd.sourceImage
| |
resource.ephemeralDirectories.gcePd.sourceSnapshot
| |
resource.ephemeralDirectories.mountPath
| |
resource.grantWorkstationAdminRoleOnCreate
| |
resource.host.gceInstance.accelerators.count
| |
resource.host.gceInstance.accelerators.type
| |
resource.host.gceInstance.boostConfigs.accelerators.count
| |
resource.host.gceInstance.boostConfigs.accelerators.type
| |
resource.host.gceInstance.boostConfigs.bootDiskSizeGb
| |
resource.host.gceInstance.boostConfigs.enableNestedVirtualization
| |
resource.host.gceInstance.boostConfigs.machineType
| |
resource.host.gceInstance.boostConfigs.poolSize
| |
resource.host.gceInstance.bootDiskSizeGb
| |
resource.host.gceInstance.confidentialInstanceConfig.enableConfidentialCompute
| |
resource.host.gceInstance.disablePublicIpAddresses
| |
resource.host.gceInstance.disableSsh
| |
resource.host.gceInstance.enableNestedVirtualization
| |
resource.host.gceInstance.machineType
| |
resource.host.gceInstance.poolSize
| |
resource.host.gceInstance.serviceAccount
| |
resource.host.gceInstance.serviceAccountScopes
| |
resource.host.gceInstance.shieldedInstanceConfig.enableIntegrityMonitoring
| |
resource.host.gceInstance.shieldedInstanceConfig.enableSecureBoot
| |
resource.host.gceInstance.shieldedInstanceConfig.enableVtpm
| |
resource.host.gceInstance.tags
| |
resource.host.gceInstance.vmTags
| |
resource.idleTimeout
| |
resource.maxUsableWorkstations
| |
resource.name
| |
resource.persistentDirectories.gcePd.diskType
| |
resource.persistentDirectories.gcePd.fsType
| |
resource.persistentDirectories.gcePd.reclaimPolicy
| |
resource.persistentDirectories.gcePd.sizeGb
| |
resource.persistentDirectories.gcePd.sourceSnapshot
| |
resource.persistentDirectories.mountPath
| |
resource.readinessChecks.path
| |
resource.readinessChecks.port
| |
resource.replicaZones
| |
resource.runningTimeout
|