Faça a gestão de recursos do Compute Engine com restrições personalizadas

Trusted Cloud by S3NS A política da organização dá-lhe um controlo centralizado e programático sobre os recursos da sua organização. Enquanto administrador de políticas da organização, pode definir uma política da organização, que é um conjunto de restrições denominadas limitações que se aplicam aTrusted Cloud recursos e descendentes desses recursos na Trusted Cloud by S3NS hierarquia de recursos. Pode aplicar políticas da organização ao nível da organização, da pasta ou do projeto.

A política da organização oferece restrições predefinidas para vários Trusted Cloud serviços. No entanto, se quiser um controlo mais detalhado e personalizável sobre os campos específicos que estão restritos nas políticas da sua organização, também pode criar restrições personalizadas e usar essas restrições personalizadas numa política da organização personalizada.

Vantagens

• Gestão de custos: use políticas organizacionais personalizadas para restringir os tamanhos e os tipos de instâncias de VMs e discos que podem ser usados na sua organização. Também pode restringir a família de máquinas usada para a instância da VM
• Segurança, conformidade e governação: pode usar políticas da organização personalizadas para aplicar políticas da seguinte forma:
  • Para aplicar requisitos de segurança, pode exigir regras de portas de firewall específicas em VMs.
  • Para suportar o isolamento de hardware ou a conformidade com o licenciamento, pode exigir que todas as VMs num projeto ou numa pasta específicos sejam executadas em nós de inquilino único.
  • Para reger os scripts de automatização, pode usar políticas de organização personalizadas para verificar se as etiquetas correspondem a expressões especificadas.

Herança de políticas

Por predefinição, as políticas da organização são herdadas pelos descendentes dos recursos nos quais aplica a política. Por exemplo, se aplicar uma política a uma pasta, Trusted Cloud aplica a política a todos os projetos na pasta. Para saber mais acerca deste comportamento e como o alterar, consulte as regras de avaliação da hierarquia.

Preços

O serviço de políticas da organização, incluindo políticas da organização predefinidas e personalizadas, é oferecido sem custo financeiro.

Antes de começar

• Se ainda não o tiver feito, configure a autenticação. A autenticação valida a sua identidade para aceder a Trusted Cloud by S3NS serviços e APIs. Para executar código ou exemplos a partir de um ambiente de desenvolvimento local, pode autenticar-se no Compute Engine selecionando uma das seguintes opções:

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  1. Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

     gcloud init

  2. Set a default region and zone.

• Certifique-se de que sabe o seu ID da organização.

Funções necessárias

Para receber as autorizações de que precisa para gerir políticas da organização para recursos do Compute Engine, peça ao seu administrador para lhe conceder as seguintes funções do IAM:

• Administrador de políticas da organização (roles/orgpolicy.policyAdmin) no recurso da organização
• Para testar as restrições: Administrador de instâncias do Compute (v1) (roles/compute.instanceAdmin.v1) no projeto

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para gerir as políticas da organização para recursos do Compute Engine. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Recursos suportados do Compute Engine

Para o Compute Engine, pode definir restrições personalizadas nos seguintes recursos e campos.

• Disco persistente: compute.googleapis.com/Disk
  • Tipo de Persistent Disk: resource.type
  • Tamanho do Persistent Disk: resource.sizeGb
  • Licenças do Persistent Disk: resource.licenses
  • Códigos de licença do Persistent Disk: resource.licenseCodes
  • Computação confidencial do Persistent Disk: resource.enableConfidentialCompute
  • Imagem de origem do Persistent Disk: resource.sourceImage
• Imagem: compute.googleapis.com/Image
  • Origem do disco não processada: resource.rawDisk.source
• Instância de VM: compute.googleapis.com/Instance
  • Funcionalidades avançadas de máquina:
    • resource.advancedMachineFeatures.enableNestedVirtualization
    • resource.advancedMachineFeatures.threadsPerCore
    • resource.advancedMachineFeatures.performanceMonitoringUnit
  • Configurações de instâncias de VMs confidenciais:
    • resource.confidentialInstanceConfig.enableConfidentialCompute
    • resource.confidentialInstanceConfig.confidentialInstanceType
  • Proteção contra eliminação: resource.deletionProtection
  • Encaminhamento de IP: resource.canIpForward
  • Acesso privado ao Google (IPv6): resource.privateIpv6GoogleAccess
  • Etiquetas: resource.labels
  • Aceleradores:
    • resource.guestAccelerators.acceleratorType
    • resource.guestAccelerators.acceleratorCount
  • Tipo de máquina: resource.machineType
  • Plataforma de CPU mínima: resource.minCpuPlatform
  • Interface de rede:
    • resource.networkInterfaces.network
    • resource.networkInterfaces.subnetwork
    • resource.networkInterfaces.networkAttachment
    • resource.networkInterfaces.accessConfigs.name
    • resource.networkInterfaces.accessConfigs.natIP
  • Afinidade de nós:
    • resource.scheduling.nodeAffinities.key
    • resource.scheduling.nodeAffinities.operator
    • resource.scheduling.nodeAffinities.values
  • Afinidade de reserva:
    • resource.scheduling.reservationAffinity.key
    • resource.scheduling.reservationAffinity.values
  • Configuração da instância protegida:
    • resource.shieldedInstanceConfig.enableSecureBoot
    • resource.shieldedInstanceConfig.enableVtpm
    • resource.shieldedInstanceConfig.enableIntegrityMonitoring
  • Zona: resource.zone
• Outros recursos de computação suportados:
  • Para mais informações sobre os recursos do Compute Engine usados pelo Cloud Load Balancing, como serviços de back-end, contentores de back-end, regras de encaminhamento, verificações de estado, políticas de SSL, proxies de destino e mapas de URLs, consulte a página Faça a gestão dos recursos do Cloud Load Balancing através de restrições personalizadas.

Configure uma restrição personalizada

Uma restrição personalizada é definida pelos recursos, métodos, condições e ações suportados pelo serviço no qual está a aplicar a política da organização. As condições para as restrições personalizadas são definidas através do Idioma de expressão comum (IEC). Para mais informações sobre como criar condições em restrições personalizadas através da CEL, consulte a secção CEL do artigo Criar e gerir políticas organizacionais personalizadas.

Pode criar uma restrição personalizada e configurá-la para utilização em políticas de organização através da Trusted Cloud consola ou da CLI gcloud.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types: CREATE
condition: CONDITION
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Aplique uma restrição personalizada

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

    gcloud org-policies set-policy POLICY_PATH
    

Exemplo: crie uma restrição que limite as VMs à utilização do tipo de máquina N2D

Exemplos de restrições personalizadas para exemplos de utilização comuns

As secções seguintes fornecem a sintaxe de algumas restrições personalizadas que pode considerar úteis:

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksPDExtremeOnly
  resource_types: compute.googleapis.com/Disk
  condition: "resource.type.contains('pd-extreme')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Create pd-extreme disks only
  description: Only the extreme persistent disk type is allowed to be created.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksLessThan250GB
  resource_types: compute.googleapis.com/Disk
  condition: "resource.sizeGb <= 250"
  action_type: ALLOW
  method_types: CREATE
  display_name: Disks size maximum is 250 GB
  description: Restrict the boot disk size to 250 GB or less for all VMs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createDisksfromStoragebucket
  resource_types: compute.googleapis.com/Image
  condition: "resource.rawDisk.source.contains('storage.googleapis.com/test_bucket/')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Source image must be from Cloud Storage test_bucket only
  description: Source images used in this project must be imported from the
  Cloud Storage test_bucket.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createVMWithLabel
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels"
  action_type: ALLOW
  method_types: CREATE
  display_name: 'cost_center' label required
  description: Requires that all VMs created must have the a 'cost_center' label
  that can be used for tracking and billing purposes.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createECommerceVMOnly
  resource_types: compute.googleapis.com/Instance
  condition: "'cost_center' in resource.labels and resource.labels['cost_center'] == 'eCommerce'"
  action_type: ALLOW
  method_types: CREATE
  display_name:  Label (cost_center/eCommerce) required
  description: Label required and Key/value must be cost_center/eCommerce.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyN2DVMs
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.contains('/machineTypes/n2d')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only N2D VMs allowed
  description: Restrict all VMs created to only use N2D machine types.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlyE2highmem8
  resource_types: compute.googleapis.com/Instance
  condition: "resource.machineType.endsWith('-e2-highmem-8')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only "e2-highmem-8" VMs allowed
  description: Restrict all VMs created to only use the E2 high-memory
  machine types that have 8 vCPUs.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.createOnlySTVM
  resource_types: compute.googleapis.com/Instance
  condition: "resource.scheduling.nodeAffinities.exists(n, n.key == 'foo')"
  action_type: ALLOW
  method_types: CREATE
  display_name: Only VMs scheduled on node group "foo" allowed
  description: Restrict all VMs created to use the node group "foo".

O que se segue?

• Consulte o artigo Introdução ao serviço de políticas de organização para saber mais sobre as políticas de organização.
• Saiba como criar e gerir políticas da organização.
• Consulte a lista completa de restrições da política de organização predefinidas.