Gerenciar a restrição de virtualização aninhada

Neste documento, descrevemos como verificar se a virtualização aninhada está ativada e como modificar a restrição booleana que controla se ela está ativada para sua organização, projeto ou pasta.

Uma restrição booleana em uma política da organização determina se é possível criar VMs aninhadas. A restrição booleana para virtualização aninhada é uma restrição. Isso significa que, quando aplicada, ela informa à política da organização para restringir a criação de VMs aninhadas. Para mais informações sobre restrições booleanas, consulte Noções básicas sobre restrições.

A restrição Desativar virtualização aninhada da VM não é aplicada por padrão. Portanto, não é necessário modificar nenhuma restrição booleana para ativar a virtualização aninhada. Mesmo assim, o Google recomenda definir explicitamente o valor da restrição para que sua organização, pastas e projetos não dependam da configuração padrão. Se o projeto não estiver subordinado a uma organização, a restrição não será aplicada por padrão e não será possível alterá-la.

Antes de começar

  • Configure a autenticação, caso ainda não tenha feito isso. Com isso, você confirma sua identidade para acesso a serviços e APIs do Trusted Cloud by S3NS . Para executar código ou exemplos em um ambiente de desenvolvimento local, faça a autenticação no Compute Engine com um destes métodos:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

    gcloud

    1. Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init
    2. Set a default region and zone.

    REST

    Para usar as amostras da API REST desta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.

      Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init

    Saiba mais em Autenticar para usar REST na documentação de autenticação do Trusted Cloud .

Verificar se a virtualização aninhada é permitida

Verifique se a virtualização aninhada é permitida para uma organização, pasta ou projeto usando o console Trusted Cloud , a CLI do Google Cloud ou REST.

Console

Verifique se é possível criar VMs aninhadas na organização, pasta ou projeto verificando se a restrição booleana para desativar a virtualização aninhada não é aplicada. Se a restrição Desativar virtualização aninhada da VM não for aplicada pela política da organização, será possível criar VMs aninhadas.

  1. No console do Trusted Cloud , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. Na organização, pasta e seletor de projetos, selecione a entidade para visualizar as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada da VM para abrir a página Detalhes da política.

  4. Veja o valor de Aplicação:

    • Se o valor for Não aplicado, a virtualização aninhada estará ativada e será possível criar VMs aninhadas.

    • Se o valor for Aplicado, a virtualização aninhada estará desativada, e não será possível criar VMs aninhadas.

gcloud

Verifique o valor da restrição booleana compute.disableNestedVirtualization usando o comando gcloud resource-manager org-policies describe.

Se a saída da Google Cloud CLI não mostrar um valor para booleanPolicy, a virtualização aninhada será permitida e será possível criar VMs aninhadas.

Se o valor de saída da Google Cloud CLI para booleanPolicy for enforced: true, a política da organização aplicará a restrição de desativação de virtualização aninhada e você não poderá criar VMs aninhadas.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que contém o valor de restrição. Para ver uma lista de organizações acessíveis e os respectivos códigos, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que está o valor de restrição. Para ver uma lista de pastas acessíveis e seus IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que o valor de restrição está. Para ver uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use a REST para verificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, pasta ou no projeto.

Se a resposta REST não retornar um valor de "booleanPolicy" para a restrição, a virtualização aninhada não será desativada e será possível criar VMs aninhadas.

Se o valor de "booleanPolicy" na saída for "enforced": true, a virtualização aninhada será desativada e não será possível criar VMs aninhadas.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Substitua:

  • RESOURCE: o recurso para o qual a política da organização será recebida. Defina como uma destas opções:

  • RESOURCE_ID: a organização, a pasta ou o projeto em que o status da restrição de virtualização aninhada será desativado.

Modificar a política da organização de virtualização aninhada

Se você tiver o papel apropriado, poderá controlar se uma organização, pasta ou projeto pode criar VMs aninhadas. Controle essa aplicação usando a restrição booleana para virtualização aninhada.

Use o console Trusted Cloud , a CLI do Google Cloud ou REST para ativar a virtualização aninhada para uma organização, pasta ou projeto.

Console

Para ativar a virtualização aninhada, desative a aplicação da restrição booleana Desativar virtualização aninhada da VM e, para desativar a virtualização aninhada, ative a aplicação da restrição booleana.

  1. No console do Trusted Cloud , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. Na organização, pasta e seletor de projetos, selecione a entidade em que você quer editar as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada da VM para abrir a página Detalhes da política.

  4. Clique em Editar e selecione Personalizar.

  5. Em Aplicação, selecione uma das seguintes opções para a restrição booleana Desativar virtualização aninhada da VM:

    • Ativado: ativar a aplicação e desativar a virtualização aninhada
    • Desativada: desative a aplicação e ative a virtualização aninhada

  6. Clique em Salvar.

gcloud

Use o comando gcloud resource-manager org-policies para ativar ou desativar a aplicação da restrição booleana de políticas da organização compute.disableNestedVirtualization.

Se você desativar a restrição compute.disableNestedVirtualization usando o comando disable-enforce, poderá criar VMs com a virtualização aninhada ativada.

Se você ativar a restrição usando o comando enable-enforce, não será possível criar VMs com a virtualização aninhada ativada.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que terá o valor de restrição modificado. Para ver uma lista de organizações acessíveis e seus respectivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que o valor de restrição será modificado. Para ver uma lista de pastas acessíveis e seus IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que o valor de restrição está. Para ver uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use a REST para modificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, pasta ou no projeto.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Substitua:

  • RESOURCE: o recurso para modificar a política da organização. Defina como uma destas opções:

  • RESOURCE_ID: a organização, a pasta ou o projeto em que o status da restrição de virtualização aninhada será desativado.

  • ENFORCE: determina se a política da organização impõe a restrição booleana compute.disableNestedVirtualization. Defina como uma destas opções:

    • true: para aplicar a restrição. Com essa configuração, não é possível criar VMs com virtualização aninhada ativada.

    • false: para não aplicar a restrição. Com essa configuração, é possível criar VMs com a virtualização aninhada ativada.

A seguir