Gerenciar a restrição de virtualização aninhada

Neste documento, descrevemos como verificar se a virtualização aninhada está ativada e como modificar a restrição booleana que controla se ela está ativada para sua organização, seu projeto ou sua pasta.

Uma restrição booleana em uma política da organização determina se é possível criar VMs aninhadas. A restrição booleana para virtualização aninhada é uma restrição. Isso significa que, quando aplicada, ela solicita que a política da organização restrinja a criação de VMs aninhadas. Para mais informações sobre restrições booleanas, consulte Noções básicas sobre restrições.

A restrição Desativar virtualização aninhada de VM não é aplicada por padrão. Portanto, não é necessário modificar nenhuma restrição booleana para ativar a virtualização aninhada. Mesmo assim, o Google recomenda definir explicitamente o valor da restrição para que sua organização, suas pastas e seus projetos não dependam da configuração padrão. Se o projeto não estiver subordinado a uma organização, a restrição não será aplicada por padrão e não será possível alterá-la.

Antes de começar

  • Configure a autenticação, caso ainda não tenha feito isso. Com isso, você confirma sua identidade para acesso a serviços e APIs do Cloud de Confiance by S3NS . Para executar código ou exemplos em um ambiente de desenvolvimento local, faça a autenticação no Compute Engine com um destes métodos:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Cloud de Confiance console to access Cloud de Confiance by S3NS services and APIs, you don't need to set up authentication.

    gcloud

    1. Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init
    2. Set a default region and zone.

    REST

    Para usar as amostras da API REST desta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.

      Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init

    Saiba mais em Autenticar para usar REST na documentação de autenticação do Cloud de Confiance .

Verificar se a virtualização aninhada é permitida

Verifique se a virtualização aninhada é permitida para uma organização, uma pasta ou um projeto usando o console do Cloud de Confiance , a CLI do Google Cloud ou REST.

Console

Verifique se é possível criar VMs aninhadas na organização, na pasta ou no projeto conferindo se a restrição booleana para desativar a virtualização aninhada não está aplicada. Se a restrição Desativar virtualização aninhada de VM não tiver sido aplicada pela política da organização, será possível criar VMs aninhadas.

  1. No console do Cloud de Confiance , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para exibir as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VM para abrir a página Detalhes da política.

  4. Confira o valor de Aplicação:

    • Se o valor for Não aplicada, a virtualização aninhada estará ativada e será possível criar VMs aninhadas.

    • Se o valor for Aplicada, a virtualização aninhada estará desativada e não será possível criar VMs aninhadas.

gcloud

Verifique o valor da restrição booleana compute.disableNestedVirtualization usando o comando gcloud resource-manager org-policies describe.

Se a saída da CLI do Google Cloud não mostrar um valor para booleanPolicy, a virtualização aninhada estará permitida e será possível criar VMs aninhadas.

Se o valor de saída da CLI do Google Cloud para booleanPolicy for enforced: true, a política da organização aplicará a restrição de desativação da virtualização aninhada e não será possível criar VMs aninhadas.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que contém o valor da restrição. Para conferir uma lista de organizações acessíveis e os respectivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que está o valor da restrição. Para conferir uma lista de pastas acessíveis e os respectivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que está o valor da restrição. Para conferir uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use REST para verificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, na pasta ou no projeto.

Se a resposta REST não retornar um valor de "booleanPolicy" para a restrição, a virtualização aninhada não estará desativada e será possível criar VMs aninhadas.

Se o valor de "booleanPolicy" na saída for "enforced": true, a virtualização aninhada estará desativada e não será possível criar VMs aninhadas.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Substitua:

Modificar a política da organização de virtualização aninhada

Se você tiver o papel apropriado, poderá controlar se uma organização, pasta ou projeto pode criar VMs aninhadas. Controle essa aplicação usando a restrição booleana para virtualização aninhada.

Use o console do Cloud de Confiance , a CLI do Google Cloud ou REST para ativar a virtualização aninhada para uma organização, uma pasta ou um projeto.

Console

Para ativar a virtualização aninhada, desative a aplicação da restrição booleana Desativar virtualização aninhada de VM. Para desativar a virtualização aninhada, ative a aplicação da restrição booleana.

  1. No console do Cloud de Confiance , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para editar as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VM para abrir a página Detalhes da política.

  4. Clique em Editar e selecione Personalizar.

  5. Em Aplicação, selecione uma das seguintes opções para a restrição booleana Desativar virtualização aninhada de VM:

    • Ativada: ativar a aplicação e desativar a virtualização aninhada.
    • Desativada: desativar a aplicação e ativar a virtualização aninhada.

  6. Clique em Salvar.

gcloud

Use o comando gcloud resource-manager org-policies para ativar ou desativar a aplicação da restrição booleana compute.disableNestedVirtualization da política da organização.

Se você desativar a restrição compute.disableNestedVirtualization usando o comando disable-enforce, poderá criar VMs com a virtualização aninhada ativada.

Se você ativar a restrição usando o comando enable-enforce, não será possível criar VMs com a virtualização aninhada ativada.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que terá o valor da restrição modificado. Para conferir uma lista de organizações acessíveis e os respectivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que o valor da restrição será modificado. Para conferir uma lista de pastas acessíveis e os respectivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que o valor da restrição será modificado. Para conferir uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use REST para modificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, na pasta ou no projeto.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Substitua:

  • RESOURCE: o recurso em que a política da organização será modificada. Defina como uma destas opções:

  • RESOURCE_ID: a organização, a pasta ou o projeto em que o status da restrição de virtualização aninhada está desativado.

  • ENFORCE: determina se a política da organização impõe a restrição booleana compute.disableNestedVirtualization. Defina como uma destas opções:

    • true: para aplicar a restrição. Com essa configuração, não é possível criar VMs com a virtualização aninhada ativada.

    • false: para não aplicar a restrição. Com essa configuração, é possível criar VMs com a virtualização aninhada ativada.

A seguir