Gerenciar atribuições de políticas do SO

Depois de criar uma atribuição de política de SO, analise e gerencie as atribuições usando os seguintes procedimentos:

• Atualizar atribuições de política do SO: modifique as configurações da atribuição da política do SO.
• Descrever atribuições de política do SO: veja detalhes sobre uma atribuição de política específica do SO.
• Listar atribuições de política do SO: veja uma lista de atribuições de política do SO em uma zona específica.
• Listar revisões de atribuição de política de SO: veja uma lista de revisões disponíveis para uma atribuição específica de política de SO
• Excluir uma atribuição de política do SO: exclua uma atribuição de política de SO específica.
• Depurar uma atribuição de política de SO: solucione problemas de uma atribuição de política de SO

É possível gerenciar as atribuições de política do SO usando o console doCloud de Confiance , a Google Cloud CLI ou a API OS Config.

Antes de começar

• Revise as cotas de configuração do SO.
• Configure a autenticação, caso ainda não tenha feito isso. A autenticação verifica sua identidade para acesso a serviços e APIs do Cloud de Confiance by S3NS . Para executar códigos ou amostras de um ambiente de desenvolvimento local, autentique-se no Compute Engine selecionando uma das seguintes opções:

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Cloud de Confiance console to access Cloud de Confiance by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  1. Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando:

     gcloud init

  2. Set a default region and zone.

  REST

  Para usar as amostras da API REST nesta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para a CLI gcloud.

  Instale a CLI do Google Cloud e faça login na gcloud CLI com sua identidade federada. Depois de fazer login, inicialize a CLI do Google Cloud executando o seguinte comando:

  gcloud init

  Para mais informações, consulte Autenticar para usar REST na documentação de autenticação do Cloud de Confiance .

Permissões

Os proprietários de um projeto têm acesso total para gerenciar as atribuições de políticas do SO. Para todos os outros usuários, você precisa conceder permissões. Para gerenciar atribuições de políticas do SO, conceda um dos seguintes papéis granulares:

• Administrador de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentAdmin). Contém permissões para criar, excluir, atualizar, receber e listar atribuições de políticas do SO.
• Editor de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentEditor). Contém permissões para atualizar, receber e listar atribuições de políticas do SO.
• Visualizador de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentViewer). Contém permissões de acesso somente leitura para receber e listar atribuições de políticas do SO.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member user:USER_ID@gmail.com \
        --role roles/osconfig.osPolicyAssignmentAdmin

Atualizar atribuições de políticas do SO

Para atualizar uma atribuição de política de SO, siga estas etapas:

1. Atualize o arquivo YAML ou JSON que tenha a atribuição de política do SO.

   A solicitação de atualização é compatível com máscaras de campo. Talvez seja necessário atualizar apenas determinados campos na atribuição de políticas do SO e manter os outros campos inalterados. O comando de atualização ou patch usa máscaras de campo para informar à API quais campos são alterados. A solicitação de atualização ou patch ignora todos os campos que não estiverem especificados na máscara de campo, deixando-os com seus valores atuais. Para mais informações sobre máscaras de campo, consulte FieldMask.

2. Atualize a atribuição de política do SO usando o console Cloud de Confiance , a Google Cloud CLI ou a API OS Config.

   Quando você atualiza uma atribuição de política do SO, um lançamento é criado. É possível ver o progresso da atualização monitorando o lançamento. Para mais informações, consulte Como conseguir detalhes de um lançamento.

   Console

   1. No console do Cloud de Confiance , acesse a página Políticas do SO > Atribuições.

      Acessar o console do Cloud de Confiance

   2. Na atribuição da política do SO que você quer editar, clique em Ação (more_vert) > Editar atribuição.

   3. Faça as atualizações necessárias. Por exemplo, é possível fazer o upload do arquivo atualizado da política do SO.

   4. Clique em Iniciar lançamento.

   gcloud

   Use o comando os-config os-policy-assignments update para atualizar uma atribuição de política do SO.

   gcloud compute os-config os-policy-assignments update OS_POLICY_ASSIGNMENT_ID \
       --location=ZONE \
       --file=FILE
   

   Substitua:

   • OS_POLICY_ASSIGNMENT_ID: o nome da atribuição de política do SO que você quer atualizar.
   • ZONE: a zona em que a atribuição de política do SO está localizada.

   • FILE: o caminho absoluto para o arquivo JSON ou YAML que contém as especificações de atribuição de política do SO atualizadas.

     Se a atribuição de política do SO não existir e se você especificar a sinalização --allow-missing, o VM Manager cria a atribuição de política do sistema operacional com o ID e as especificações.

   REST

   Na API, crie uma solicitação PATCH para o método projects.locations.osPolicyAssignments.patch.

   PATCH https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID
   
   {
    JSON_OS_POLICY
   }
   

   Substitua:

   • PROJECT_ID: ID do projeto
   • OS_POLICY_ASSIGNMENT_ID: nome da atribuição da política do SO que você quer atualizar
   • JSON_OS_POLICY: as especificações de atribuição de política do SO criadas na etapa anterior. Ele precisa estar no formato JSON. Para mais informações sobre os parâmetros e o formato, consulte Resource: OSPolicyAssignment.
   • ZONE: a zona em que a atribuição de política do SO está localizada.

Listar atribuições de políticas do SO

 gcloud compute os-config os-policy-assignments list \
     --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments

Descrever uma atribuição de política de SO

gcloud compute os-config os-policy-assignments describe OS_POLICY_ASSIGNMENT_ID \
     --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID

Listar revisões de atribuição de política do SO

gcloud compute os-config os-policy-assignments list-revisions OS_POLICY_ASSIGNMENT_ID \
    --location=ZONE

GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID:listRevisions

Excluir atribuições de políticas do SO

Quando você exclui uma atribuição de política do SO, um lançamento é criado. É possível ver o progresso da exclusão monitorando o lançamento. Para mais informações, consulte Como conseguir detalhes de um lançamento.

gcloud compute os-config os-policy-assignments delete OS_POLICY_ASSIGNMENT_ID \
    --location=ZONE

DELETE https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/osPolicyAssignments/OS_POLICY_ASSIGNMENT_ID

Solução de problemas

Para solucionar problemas em uma atribuição de política de SO, consulte Solução de problemas do VM Manager.

A seguir

• Saiba mais sobre as políticas do SO.
• Crie uma atribuição de política do SO.