Einschränkung für verschachtelte Virtualisierung verwalten

In diesem Dokument wird beschrieben, wie Sie prüfen können, ob die verschachtelte Virtualisierung aktiviert ist, und wie Sie die boolesche Einschränkung ändern, die festlegt, ob die verschachtelte Virtualisierung für Ihre Organisation, Ihr Projekt oder Ihren Ordner aktiviert ist.

Mit einer booleschen Einschränkung in einer Organisationsrichtlinie wird festgelegt, ob verschachtelte VMs erstellt werden können. Wird die boolesche Einschränkung für die verschachtelte Virtualisierung durchgesetzt, wird die Organisationsrichtlinie angewiesen, die Erstellung verschachtelter VMs einzuschränken. Weitere Informationen zu booleschen Einschränkungen finden Sie unter Informationen zu Einschränkungen.

Die Einschränkung Verschachtelte Virtualisierung für VM deaktivieren wird standardmäßig nicht erzwungen. Die verschachtelte Virtualisierung kann also aktiviert werden, ohne eine boolesche Einschränkung ändern zu müssen. Trotzdem empfiehlt Google, den Wert der Einschränkung festzulegen, damit Ihre Organisation, Ordner und Projekte nicht von der Standardeinstellung abhängig sind. Wenn Ihr Projekt keiner Organisation untergeordnet ist, wird die Einschränkung nicht standardmäßig erzwungen und Sie können die Einschränkung nicht ändern.

Hinweis

  • Richten Sie die Authentifizierung ein, falls dies noch nicht geschehen ist. . Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Dienste und APIs von Cloud de Confiance by S3NS verifiziert. Zum Ausführen von Code oder von Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei der Compute Engine authentifizieren:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Cloud de Confiance console to access Cloud de Confiance by S3NS services and APIs, you don't need to set up authentication.

    gcloud

    1. Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit folgendem Befehl: 

      gcloud init
    2. Set a default region and zone.

    REST

    Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung nutzen möchten, verwenden Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

      Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit folgendem Befehl: 

      gcloud init

    Weitere Informationen finden Sie in der Dokumentation zur Cloud de Confiance -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Zulässigkeit der verschachtelten Virtualisierung prüfen

Prüfen Sie mit der Cloud de Confiance Console, mit der Google Cloud CLI oder mit REST, ob die verschachtelte Virtualisierung für eine Organisation, einen Ordner oder ein Projekt zulässig ist.

Console

Prüfen Sie, ob Sie in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt verschachtelte VMs erstellen können. Überprüfen Sie dazu, ob die boolesche Einschränkung zum Deaktivieren einer verschachtelten Virtualisierung erzwungen wird. Wenn die Einschränkung Verschachtelte Virtualisierung für VM deaktivieren durch die Organisationsrichtlinie nicht erzwungen wird, können Sie verschachtelte VMs erstellen.

  1. Wechseln Sie in der Cloud de Confiance Console zur Seite Organisationsrichtlinien.

    Zu den Organisationsrichtlinien

  2. Legen Sie über die Organisations-, Ordner- und Projektauswahl die Entität fest, für die die Organisationsrichtlinien angezeigt werden sollen.

  3. Wählen Sie die Einschränkung Verschachtelte Virtualisierung für VM deaktivieren aus, um die Seite Richtliniendetails zu öffnen.

  4. Rufen Sie den Wert für Erzwingung auf:

    • Wenn der Wert Nicht erzwungen lautet, ist die verschachtelte Virtualisierung aktiviert und Sie können verschachtelte VMs erstellen.

    • Wenn der Wert Erzwungen lautet, ist die verschachtelte Virtualisierung deaktiviert und Sie können keine verschachtelten VMs erstellen.

gcloud

Prüfen Sie den Wert der booleschen Einschränkung compute.disableNestedVirtualization mit dem Befehl gcloud resource-manager org-policies describe.

Wenn in der Ausgabe der Google Cloud CLI für booleanPolicy kein Wert angezeigt wird, ist die verschachtelte Virtualisierung zulässig und Sie können verschachtelte VMs erstellen.

Wenn der Ausgabewert der Google Cloud CLI für booleanPolicy enforced: true lautet, erzwingt die Organisationsrichtlinie die Einschränkung zum Deaktivieren der verschachtelten Virtualisierung und Sie können keine verschachtelten VMs erstellen.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Ersetzen Sie genau eines der folgenden Elemente:

  • ORGANIZATION_ID: ID der Organisation, deren Einschränkungswert abgerufen werden soll. Eine Liste der zugänglichen Organisationen und ihrer IDs erhalten Sie mit dem Befehl gcloud organizations list.

  • FOLDER_ID: ID des Ordners, für den der Einschränkungswert abgerufen werden soll. Eine Liste der zugänglichen Ordner und ihrer IDs erhalten Sie mit dem Befehl gcloud resource-manager folders list.

  • PROJECT_ID: ID des Projekts, für das der Einschränkungswert abgerufen werden soll. Eine Liste der zugänglichen Projekte und ihrer IDs erhalten Sie mit dem Befehl gcloud projects list.

REST

Mit REST können Sie den Wert der booleschen Einschränkung compute.disableNestedVirtualization prüfen. Dieser bestimmt, ob Sie die Möglichkeit haben, verschachtelte VMs in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt zu erstellen.

Wenn die REST-Antwort keinen Wert für "booleanPolicy" bezüglich der Einschränkung zurückgibt, ist die verschachtelte Virtualisierung nicht deaktiviert und Sie können verschachtelte VMs erstellen.

Wenn der Wert für "booleanPolicy" in der Ausgabe "enforced": true lautet, ist die verschachtelte Virtualisierung deaktiviert und Sie können keine verschachtelten VMs erstellen.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Ersetzen Sie Folgendes:

  • RESOURCE: Ressource, für die die Organisationsrichtlinie abgerufen werden soll. Geben Sie dafür einen der folgenden Werte an: .

  • RESOURCE_ID: Organisation, Ordner oder Projekt, wofür jeweils der Status der Einschränkung zur Deaktivierung der verschachtelten Virtualisierung geprüft werden soll.

Organisationsrichtlinie für verschachtelte Virtualisierung ändern

Wenn Sie die entsprechende Rolle haben, können Sie angeben, ob für eine Organisation, einen Ordner oder ein Projekt verschachtelte VMs erstellt werden können. Legen Sie diese Erzwingung mithilfe der booleschen Einschränkung für eine verschachtelte Virtualisierung fest.

Verwenden Sie die Cloud de Confiance Console, die Google Cloud CLI oder REST, um die verschachtelte Virtualisierung für eine Organisation, einen Ordner oder ein Projekt zu aktivieren.

Console

Wenn Sie die verschachtelte Virtualisierung aktivieren möchten, deaktivieren Sie die Erzwingung der booleschen Einschränkung Verschachtelte Virtualisierung für VM deaktivieren. Wenn Sie die verschachtelte Virtualisierung deaktivieren möchten, aktivieren Sie die Erzwingung der booleschen Einschränkung.

  1. Rufen Sie in der Cloud de Confiance Console die Seite Organisationsrichtlinien auf.

    Zu den Organisationsrichtlinien

  2. Legen Sie über die Organisations-, Ordner- und Projektauswahl die Entität fest, für die die Organisationsrichtlinien bearbeitet werden sollen.

  3. Wählen Sie die Einschränkung Verschachtelte Virtualisierung für VM deaktivieren aus, um die Seite Richtliniendetails zu öffnen.

  4. Klicken Sie auf Bearbeiten und wählen Sie dann Anpassen aus.

  5. Wählen Sie unter Erzwingung eine der folgenden Optionen für die boolesche Einschränkung Verschachtelte Virtualisierung für VM deaktivieren aus:

    • Ein: Erzwingung wird aktiviert und verschachtelte Virtualisierung wird deaktiviert.
    • Aus: Erzwingung wird deaktiviert und verschachtelte Virtualisierung wird deaktiviert.

  6. Klicken Sie auf Speichern.

gcloud

Mit dem Befehl gcloud resource-manager org-policies können Sie die Erzwingung der booleschen Einschränkung der Organisationsrichtlinie compute.disableNestedVirtualization aktivieren oder deaktivieren.

Wenn Sie die Einschränkung compute.disableNestedVirtualization mit dem Befehl disable-enforce deaktivieren, können Sie VMs erstellen, für die die verschachtelte Virtualisierung aktiviert ist.

Wenn Sie die Einschränkung mit dem Befehl enable-enforce aktivieren, können Sie keine VMs mit aktivierter verschachtelter Virtualisierung erstellen.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Ersetzen Sie genau eines der folgenden Elemente:

  • ORGANIZATION_ID: ID der Organisation, deren Einschränkungswert geändert werden soll. Eine Liste zugänglicher Organisationen und ihrer IDs erhalten Sie mit dem Befehl gcloud organizations list.

  • FOLDER_ID: ID des Ordners, für den der Einschränkungswert geändert werden soll. Eine Liste der zugänglichen Ordner und ihrer IDs erhalten Sie mit dem Befehl gcloud resource-manager folders list.

  • PROJECT_ID: ID des Projekts, für das der Einschränkungswert abgerufen werden soll. Eine Liste der zugänglichen Projekte und ihrer IDs erhalten Sie mit dem Befehl gcloud projects list.

REST

Mit REST können Sie den Wert der booleschen Einschränkung compute.disableNestedVirtualization ändern. Dieser bestimmt, ob Sie die Möglichkeit haben, verschachtelte VMs in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt zu erstellen.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Ersetzen Sie Folgendes:

  • RESOURCE: Ressource, für die die Organisationsrichtlinie geändert werden soll. Legen Sie dafür einen der folgenden Werte fest:

  • RESOURCE_ID: Organisation, Ordner oder Projekt, wofür jeweils der Status der Einschränkung zur Deaktivierung der verschachtelten Virtualisierung geprüft werden soll.

  • ENFORCE: Legt fest, ob die Organisationsrichtlinie die boolesche Einschränkung compute.disableNestedVirtualization erzwingt. Geben Sie dafür einen der folgenden Werte an: .

    • true: Die Einschränkung wird erzwungen. Bei dieser Einstellung können Sie keine VMs erstellen, für die die verschachtelte Virtualisierung aktiviert ist.

    • false: Die Einschränkung wird nicht erzwungen. Bei dieser Einstellung können Sie VMs erstellen, für die die verschachtelte Virtualisierung aktiviert ist.

Nächste Schritte