Faça a gestão da restrição de virtualização aninhada

Este documento descreve como verificar se a virtualização aninhada está ativada e como modificar a restrição booleana que controla se a virtualização aninhada está ativada para a sua organização, projeto ou pasta.

Uma restrição booleana numa política da organização determina se pode criar VMs aninhadas. A restrição booleana para a virtualização aninhada é uma restrição, o que significa que, quando é aplicada, indica à política da organização para restringir a criação de VMs aninhadas. Para mais informações sobre as restrições booleanas, consulte o artigo Compreender as restrições.

A restrição Desativar virtualização aninhada de VMs não é aplicada por predefinição, pelo que não tem de modificar nenhuma restrição booleana para ativar a virtualização aninhada. Mesmo assim, a Google recomenda que defina explicitamente o valor da restrição para que a sua organização, pastas e projetos não dependam da definição predefinida. Se o seu projeto não estiver subordinado a uma organização, a restrição não é aplicada por predefinição e não pode alterar a restrição.

Antes de começar

  • Se ainda não o tiver feito, configure a autenticação. A autenticação valida a sua identidade para aceder a Trusted Cloud by S3NS serviços e APIs. Para executar código ou exemplos a partir de um ambiente de desenvolvimento local, pode autenticar-se no Compute Engine selecionando uma das seguintes opções:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

    gcloud

    1. Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando: 

      gcloud init
    2. Set a default region and zone.

    REST

    Para usar os exemplos da API REST nesta página num ambiente de desenvolvimento local, usa as credenciais que fornece à CLI gcloud.

      Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando: 

      gcloud init

    Para mais informações, consulte o artigo Autenticar para usar REST na Trusted Cloud documentação de autenticação.

Verifique se a virtualização aninhada é permitida

Verifique se a virtualização aninhada é permitida para uma organização, uma pasta ou um projeto através da Trusted Cloud consola, da Google Cloud CLI ou da REST.

Consola

Verifique se pode criar VMs aninhadas na sua organização, pasta ou projeto, verificando se a restrição booleana para desativar a virtualização aninhada não é aplicada. Se a restrição Desativar a virtualização aninhada de VMs não for aplicada pela política da organização, pode criar VMs aninhadas.

  1. Na Trusted Cloud consola, aceda à página Políticas de organização.

    Aceda às políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para ver as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VMs para abrir a página Detalhes da política.

  4. Veja o valor de Aplicação:

    • Se o valor for Não aplicado, a virtualização aninhada está ativada e pode criar VMs aninhadas.

    • Se o valor for Imposto, a virtualização aninhada é desativada e não pode criar VMs aninhadas.

gcloud

Verifique o valor da restrição booleana compute.disableNestedVirtualization com o comando gcloud resource-manager org-policies describe.

Se o resultado da CLI do Google Cloud não mostrar um valor para booleanPolicy, significa que a virtualização aninhada é permitida e pode criar VMs aninhadas.

Se o valor de saída da CLI Google Cloud para booleanPolicy for enforced: true, a política de organização está a aplicar a restrição de desativação da virtualização aninhada e não pode criar VMs aninhadas.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Substitua exatamente um dos seguintes elementos:

  • ORGANIZATION_ID: o ID da organização para obter o valor da restrição. Para ver uma lista das organizações acessíveis e os respetivos IDs, execute o gcloud organizations list comando.

  • FOLDER_ID: o ID da pasta para obter o valor da restrição. Para ver uma lista das pastas acessíveis e os respetivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto para obter o valor da restrição. Para ver uma lista dos projetos acessíveis e os respetivos IDs, execute o comando gcloud projects list.

REST

Use a API REST para verificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se pode criar VMs aninhadas na sua organização, pasta ou projeto.

Se a resposta REST não devolver um valor para "booleanPolicy" para a restrição, a virtualização aninhada não é desativada e pode criar VMs aninhadas.

Se o valor de "booleanPolicy" na saída for "enforced": true, a virtualização aninhada está desativada e não pode criar VMs aninhadas.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Substitua o seguinte:

  • RESOURCE: o recurso para obter a política da organização. Definido para uma das seguintes opções:

  • RESOURCE_ID: a organização, a pasta ou o projeto no qual verificar o estado da restrição de desativação da virtualização aninhada

Modifique a política organizacional de virtualização aninhada

Se tiver a função adequada, pode controlar se uma organização, uma pasta ou um projeto podem criar VMs aninhadas. Controle esta aplicação através da restrição booleana para a virtualização aninhada.

Use a Trusted Cloud consola, a Google Cloud CLI ou o REST para ativar a virtualização aninhada para uma organização, uma pasta ou um projeto.

Consola

Para ativar a virtualização aninhada, desative a aplicação da restrição booleana Disable VM nested virtualization e, para desativar a virtualização aninhada, ative a aplicação da restrição booleana.

  1. Na Trusted Cloud consola, aceda à página Políticas de organização.

    Aceda às políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para a qual quer editar as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VMs para abrir a página Detalhes da política.

  4. Clique em Editar e, de seguida, selecione Personalizar.

  5. Em Aplicação, selecione uma das seguintes opções de aplicação para a restrição booleana Desativar a virtualização aninhada de VMs:

    • Ativada: ative a aplicação e desative a virtualização aninhada
    • Desativado: desative a aplicação e ative a virtualização aninhada

  6. Clique em Guardar.

gcloud

Use o gcloud resource-manager org-policiescomando para ativar ou desativar a aplicação da restrição booleana da política da organização compute.disableNestedVirtualization.

Se desativar a restrição compute.disableNestedVirtualization através do comando disable-enforce, pode criar VMs com a virtualização aninhada ativada.

Se ativar a restrição através do comando enable-enforce, não pode criar VMs com a virtualização aninhada ativada.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Substitua exatamente um dos seguintes elementos:

  • ORGANIZATION_ID: o ID da organização para modificar o valor da restrição. Para ver uma lista das organizações acessíveis e dos respetivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta para modificar o valor da restrição. Para ver uma lista das pastas acessíveis e os respetivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto para modificar o valor da restrição. Para ver uma lista dos projetos acessíveis e os respetivos IDs, execute o comando gcloud projects list.

REST

Use REST para modificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se pode criar VMs aninhadas na sua organização, pasta ou projeto.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Substitua o seguinte:

  • RESOURCE: o recurso para modificar a política da organização. Defina esta opção como uma das seguintes:

  • RESOURCE_ID: a organização, a pasta ou o projeto no qual verificar o estado da restrição de desativação da virtualização aninhada

  • ENFORCE: determina se a política da organização aplica a restrição booleana compute.disableNestedVirtualization. Definido para uma das seguintes opções:

    • true: para aplicar a restrição. Com esta definição, não pode criar VMs com a virtualização aninhada ativada.

    • false: para não aplicar a restrição. Com esta definição, pode criar VMs com a virtualização aninhada ativada.

O que se segue?