このページの情報の一部またはすべては、S3NS の Trusted Cloud には適用されない場合があります。

OS ポリシーの割り当てを作成する

OS ポリシーを使用して、Linux および Windows 仮想マシン（VM）インスタンス全体で一貫したソフトウェア構成を維持します。

始める前に

OS ポリシーとその割り当てを確認します。
OS Config の割り当てを確認します。
VM Manager イベントの監査ログを生成するには、データアクセス監査ログを有効にします。
まだ設定していない場合は、認証を設定します。認証とは、 Trusted Cloud by S3NS サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のいずれかのオプションを選択して Compute Engine で認証を行います。

Select the tab for how you plan to use the samples on this page:
Console

When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.
gcloud

サポートされているオペレーティングシステム

OS ポリシーをサポートするオペレーティングシステムとバージョンの完全なリストについては、オペレーティングシステムの詳細をご覧ください。

権限

OS ポリシーを使用して VM にソフトウェアパッケージをインストールして管理できるため、OS ポリシーを作成して管理することは VM でリモートコード実行アクセス権を付与することと同等です。OS ポリシーを設定すると、IAM 権限を使用してポリシーリソースとアクセスが制御され、アクティビティが監査ログに記録されます。

プロジェクトのオーナーは、OS ポリシーの割り当てを作成、管理するための完全アクセス権を持ちます。他のすべてのユーザーには、権限を付与する必要があります。次のいずれかの詳細なロールを付与できます。

注意: OSPolicyAssignment 管理者と OSPolicyAssignment 編集者のロールには、VM 上のソフトウェアパッケージを管理するためのアクセス権を提供する osconfig.osPolicyAssignments.update 権限が含まれています。これらのロールを付与すると、ユーザーに VM でコードを実行するための意図しないアクセス権が付与される可能性があります。このリスクを軽減するには、最小権限の原則に従って、必要なアクセス権のみを各ユーザーに付与し、ユーザーによるこの IAM 権限の使用状況をモニタリングすることをおすすめします。

OSPolicyAssignment 管理者（roles/osconfig.osPolicyAssignmentAdmin）。OS ポリシーの割り当てを作成、削除、更新、取得、一覧取得する権限が含まれます。
OSPolicyAssignment 編集者（roles/osconfig.osPolicyAssignmentEditor）。OS ポリシーの割り当てを更新、取得、一覧表示する権限が含まれます。
OSPolicyAssignment 閲覧者（roles/osconfig.osPolicyAssignmentViewer）。OS ポリシーの割り当てを取得して一覧表示するための読み取り専用アクセス権が含まれます。

権限を設定するコマンドの例

OS ポリシーを割り当てるための管理者権限をユーザーに付与するには、次のコマンドを実行します。

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member user:USER_ID@gmail.com \
        --role roles/osconfig.osPolicyAssignmentAdmin

次のように置き換えます。

PROJECT_ID: プロジェクト ID
USER_ID: ユーザーの Google Workspace のユーザー名。

OS ポリシーの割り当てを作成する

OS ポリシーの割り当てを作成してロールアウトするには、次の手順を行います。

VM Manager を設定します。
ユーザーに必要な権限を割り当てます。
OS ポリシーとその割り当てを確認します。
OS ポリシーリソースを作成します。
OS ポリシーの割り当てを作成してロールアウトするには、次のいずれかの方法を使用します。
コンソール
OS ポリシーの割り当てを作成してロールアウトするには、次の手順を行います。
1. ローカルクライアントで OS ポリシーを作成またはダウンロードします。これは JSON または YAML ファイルです。OS ポリシーの作成または OS のサンプルポリシーの表示については、OS ポリシーをご覧ください
2. Trusted Cloud コンソールで、[OS ポリシー] ページに移動します。
  
  [OS ポリシー] に移動
3. [OS ポリシーの割り当ての作成] をクリックします。
4. [割り当て ID] セクションで、OS ポリシーの割り当ての名前を入力します。リソースの命名規則をご覧ください。
5. [OS ポリシー] セクションで、OS ポリシーファイルをアップロードします。
6. [ターゲット VM インスタンス] セクションで、ターゲット VM を指定します。
  - ポリシーを適用する VM を含むゾーンを選択します。
  - OS ファミリーを選択します。
  - （省略可）対象ラベルまたは除外ラベルを指定して、VM をさらにフィルタリングできます。
  たとえば、テスト環境のすべての Ubuntu VM を選択して、Google Kubernetes Engine を実行している VM を除外できます。
  - OS ファミリー: ubuntu
  - 対象: env:test、env:staging
  - 除外: goog-gke-node
7. ロールアウトプランを指定します。
  - ウェーブサイズ（停止予算）を指定します。例: 10%。
  - 待ち時間を指定します。例: 15 分。
8. [ロールアウトを開始] をクリックします。
gcloud
ゾーンに OS ポリシーの割り当てを作成してロールアウトするには、次の手順を行います。
1. JSON または YAML 形式で OS ポリシー割り当てリソースを作成します。このファイルは、VM に適用する OS ポリシー、ポリシーを適用するターゲット VM、OS ポリシーを適用するロールアウトスピードを定義します。このファイルとサンプル割り当ての詳細については、OS ポリシーの割り当てをご覧ください。
2. os-config os-policy-assignments create コマンドを使用して、指定したロケーションに OS ポリシーの割り当てを作成してロールアウトします。
  gcloud compute os-config os-policy-assignments create OS_POLICY_ASSIGNMENT_ID \ --location=ZONE \ --file=OS_POLICY_ASSIGNMENT_FILE \ --async
  次のように置き換えます。
  - OS_POLICY_ASSIGNMENT_ID: OS ポリシー割り当ての名前。リソースの命名規則をご覧ください。
  - ZONE: OS ポリシーの割り当てを作成するゾーン。
  - OS_POLICY_ASSIGNMENT_FILE: 前の手順で作成した OS ポリシー割り当てファイルの絶対パス。
  例
  gcloud compute os-config os-policy-assignments create my-os-policy-assignment \ --location=asia-south1-a \ --file=/downloads/assignment-config.yaml \ --async
  出力は次のようになります。
  Create request issued for: [my-os-policy-assignment] Check operation [projects/384123488288/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/fb2011d6-61de-46f1-afdb-bc96bdb3fbaa] for status.
3. オペレーションの完全修飾リソース名をメモします。上述の例では、完全修飾リソース名は次のようになります。
  projects/384123488288/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/fb2011d6-61de-46f1-afdb-bc96bdb3fbaa
  この完全修飾リソース名は、ロールアウトの詳細取得やキャンセルに使用できます。ロールアウトをご覧ください。
Terraform
OS ポリシーの割り当てを作成するには、google_os_config_os_policy_assignment リソースを使用します。

次の例では、CentOS VM で Apache ウェブサーバーが実行されているかどうかを確認します。
resource "google_os_config_os_policy_assignment" "my_os_policy_assignment" { name = "my-os-policy-assignment" location = "us-west1-a" description = "An OS policy assignment that verifies if the Apache web server is running on CentOS VMs." instance_filter { # filter to select VMs all = false exclusion_labels { labels = { label-one = "goog-gke-node" } } inclusion_labels { labels = { env = "test", } } inventories { os_short_name = "centos" os_version = "7*" } } os_policies { #list of OS policies to be applied to VMs id = "apache-always-up-policy" mode = "ENFORCEMENT" resource_groups { #list of resource groups for the policy resources { id = "ensure-apache-is-up" exec { validate { interpreter = "SHELL" script = "if systemctl is-active --quiet httpd; then exit 100; else exit 101; fi" } enforce { interpreter = "SHELL" script = "systemctl start httpd && exit 100" } } } inventory_filters { os_short_name = "centos" os_version = "7*" } } allow_no_resource_group_match = false #OS policy compliance status description = "An OS policy that verifies if the Apache web server is running on Linux VMs." } rollout { #define rollout parameters disruption_budget { fixed = 1 } min_wait_duration = "3.5s" } }
Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。
REST
ローカルクライアントで OS ポリシーの割り当てを作成するには、次の操作を行います。
1. OS ポリシーの割り当てを作成します。これは JSON ファイルである必要があります。OS ポリシーの割り当ての作成、サンプルの OS ポリシー割り当ての表示については、OS ポリシーの割り当てをご覧ください。
  
  サンプル YAML OS ポリシーの割り当てを使用する場合は、JSON に変換する必要があります。
2. API で、projects.locations.osPolicyAssignments.create メソッドに対する POST リクエストを作成します。
  
  リクエスト本文に、前の手順でコピーした OS ポリシーの割り当てを貼り付けます。
  POST https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments?osPolicyAssignmentId=OS_POLICY_ASSIGNMENT_ID { JSON_OS_POLICY }
  次のように置き換えます。
  - PROJECT_ID: プロジェクト ID
  - OS_POLICY_ASSIGNMENT_ID: OS ポリシー割り当ての名前
  - JSON_OS_POLICY: 前の手順で作成した OS ポリシーの割り当ての仕様。JSON 形式にする必要があります。パラメータと形式の詳細については、Resource: OSPolicyAssignment をご覧ください。
  - ZONE: OS ポリシーの割り当てを作成するゾーン
  例
  
  たとえば、サンプル OS ポリシーの割り当てを使用して、特定の VM に Monitoring エージェントと Logging エージェントをインストールする Google Cloud Observability の OS ポリシーの割り当てを作成するには、次の操作を行います。
  1. サンプルを JSON に変換します。
  2. 次のリクエストを行います。
  POST https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments?osPolicyAssignmentId=OS_POLICY_ASSIGNMENT_ID { "osPolicies": [ { "id": "setup-repo-and-install-package-policy", "mode": "ENFORCEMENT", "resourceGroups": [ { "resources": [ { "id": "setup-repo", "repository": { "yum": { "id": "google-cloud-monitoring", "displayName": "Google Cloud Monitoring Agent Repository", "baseUrl": "https://packages.cloud.google.com/yum/repos/google-cloud-monitoring-el8-x86_64-all", "gpgKeys": [ "https://packages.cloud.google.com/yum/doc/yum-key.gpg", "https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg" ] } } }, { "id": "install-pkg", "pkg": { "desiredState": "INSTALLED", "yum": { "name": "stackdriver-agent" } } } ] } ] } ], "instanceFilter": { "inclusionLabels": [ { "labels": { "used_for": "testing" } } ] }, "rollout": { "disruptionBudget": { "fixed": 10 }, "minWaitDuration": { "seconds": 300 } } }

ロールアウト

OS ポリシーの割り当ては、ロールアウト率に従ってデプロイされます。つまり、一連の VM をターゲットとする割り当ては段階的にデプロイでき、すべての VM にすぐに適用されるわけではありません。変更は段階的にロールアウトされます。新しい変更で問題が発生した場合は、ロールアウトをキャンセルして元に戻すことができます。

API がメソッド呼び出しの完了に時間がかかる場合、API は長時間実行オペレーション（LRO）を返します。LRO の詳細については、長時間実行オペレーションをご覧ください。

OS ポリシーの割り当てを作成、更新、削除するたびに、OS Config Service API が LRO を作成します。各 LRO はオペレーションリソースを返します。このオペレーションリソースは次のようになります。

Create request issued for: [my-os-policy-assignment]
Check operation [projects/384123488288/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/fb2011d6-61de-46f1-afdb-bc96bdb3fbaa] for status.

作成、更新、削除の各オペレーションでも、OS ポリシー割り当ての新しいバージョンが生成されます。OS ポリシーの割り当てのリビジョンを表示するには、OS ポリシー割り当てのリビジョンの一覧表示をご覧ください。

Google Cloud CLI を使用して、ロールアウトの詳細を取得することや、ロールアウトをキャンセルできます。

ロールアウトの詳細を取得する

ロールアウトの詳細を取得するには、os-config os-policy-assignments operations describe コマンドを使用します。

gcloud compute os-config os-policy-assignments operations describe FULLY_QUALIFIED_OPERATION_NAME

FULLY_QUALIFIED_OPERATION_NAME は、作成、更新、削除の各オペレーションで返される完全修飾リソース名に置き換えます。

例

gcloud compute os-config os-policy-assignments operations describe \
    projects/384123488288/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/fb2011d6-61de-46f1-afdb-bc96bdb3fbaa

出力例

done: true
metadata:
  '@type': type.googleapis.com/google.cloud.osconfig.$$api-version$$.OSPolicyAssignmentOperationMetadata
  apiMethod: CREATE
  osPolicyAssignment: projects/3841234882888/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment@cfb78790-41d8-40d1-b8a1-1eaf6011b909
  rolloutStartTime: '2021-04-15T00:53:52.963569Z'
  rolloutState: SUCCEEDED
  rolloutUpdateTime: '2021-04-15T00:53:53.094041Z'
name: projects/3841234882888/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/cfb78790-41d8-40d1-b8a1-1eaf6011b909
response:
  '@type': type.googleapis.com/google.cloud.osconfig.$$api-version$$.OSPolicyAssignment
  baseline: true
  description: My test policy
  instanceFilter:
    inclusionLabels:
    - labels:
        label-key-not-targeting-instances: label-value-not-targeting-instances
  name: projects/3841234882888/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment
  osPolicies:
  - id: q-test-policy
    mode: ENFORCEMENT
    resourceGroups:
    - osFilter:
        osShortName: centos
        osVersion: '7'
      resources:
      - id: add-repo
        repository:
          yum:
            baseUrl: https://packages.cloud.google.com/yum/repos/google-cloud-ops-agent-el7-x86_64-all

ロールアウトのキャンセル

コンソール

Trusted Cloud コンソールで、[OS ポリシー] ページに移動します。

[OS ポリシー] に移動
[OS ポリシーの割り当て] タブをクリックします。
ロールアウトをキャンセルする OS ポリシーの割り当てで、[アクション（）] > [ロールアウトをキャンセル] をクリックします。
[ロールアウトをキャンセル] をクリックします。

gcloud

ロールアウトをキャンセルするには、gcloud compute os-config os-policy-assignments operations cancel コマンドを使用します。

gcloud compute os-config os-policy-assignments operations cancel FULLY_QUALIFIED_OPERATION_NAME

FULLY_QUALIFIED_OPERATION_NAME は、作成、更新、削除の各オペレーションで返される完全修飾リソース名に置き換えます。

例

gcloud compute os-config os-policy-assignments operations cancel \
    projects/384123488288/locations/asia-south1-a/osPolicyAssignments/my-os-policy-assignment/operations/fb2011d6-61de-46f1-afdb-bc96bdb3fbaa

コマンドが成功した場合、出力は返されません。

次のステップ

OS ポリシーの詳細を確認する。
OS ポリシーの割り当てを管理する。

OS ポリシーの割り当てを作成する

始める前に

Console

gcloud

Terraform

REST

サポートされているオペレーティング システム

権限

権限を設定するコマンドの例

OS ポリシーの割り当てを作成する

コンソール

gcloud

Terraform

REST

ロールアウト

ロールアウトの詳細を取得する

出力例

ロールアウトのキャンセル

コンソール

gcloud

次のステップ

サポートされているオペレーティングシステム