Gérer les attributions de règles d'OS à l'aide de l'outil d'orchestration des règles

Cette page explique comment utiliser la fonctionnalité d'orchestration des règles dans VM Manager pour créer, mettre à jour ou supprimer des ressources de règles d'OS dans différents projets et zones de vos dossiers ou de votre organisation.

Avant de commencer

  • Consultez les pages Règle d'OS et attribution de règles d'OS.
  • Consultez les quotas d'OS Config.
  • Assurez-vous de remplir les conditions préalables pour utiliser l'outil d'orchestration des règles.
  • Si ce n'est pas déjà fait, configurez l'authentification. L'authentification permet de valider votre identité pour accéder aux services et aux API Cloud de Confiance by S3NS . Pour exécuter du code ou des exemples depuis un environnement de développement local, vous pouvez vous authentifier auprès de Compute Engine en sélectionnant l'une des options suivantes :

    Sélectionnez l'onglet correspondant à la façon dont vous prévoyez d'utiliser les exemples de cette page :

    Console

    Lorsque vous utilisez la console Cloud de Confiance pour accéder aux services Cloud de Confiance by S3NS et aux API, vous n'avez pas besoin de configurer l'authentification.

    gcloud

    1. Installez la Google Cloud CLI, puis connectez-vous à la gcloud CLI avec votre identité fédérée. Après vous être connecté, initialisez la Google Cloud CLI en exécutant la commande suivante : 

      gcloud init
  • Définissez une région et une zone par défaut.

    • REST

    Pour utiliser les exemples API REST de cette page dans un environnement de développement local, vous devez utiliser les identifiants que vous fournissez à la gcloud CLI.

      Installez la Google Cloud CLI, puis connectez-vous à la gcloud CLI avec votre identité fédérée.

    Pour en savoir plus, consultez la section S'authentifier pour utiliser REST dans la documentation sur l'authentification Cloud de Confiance .

Créer ou mettre à jour des attributions de règles d'OS dans des projets et des zones

Vous pouvez créer des orchestrateurs de règles pour appliquer des règles d'OS à des ressources sélectionnées dans un projet, un dossier ou une organisation.

Projet

Console

Pour créer un outil d'orchestration des règles et appliquer des attributions de règles d'OS dans un projet, procédez comme suit :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'action de la console Cloud de Confiance , puis sélectionnez le projet dans lequel vous souhaitez créer l'orchestrateur de règles.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Pour en savoir plus sur les conventions d'attribution de noms, consultez Convention d'attribution de noms aux ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, importez le fichier de règle d'OS.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un orchestrateur de règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action UPSERT.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets dans lesquels vous souhaitez déployer les règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM auxquelles vous souhaitez appliquer les règles de système d'exploitation. Vous pouvez également cliquer sur Tout sélectionner pour appliquer les modifications des règles d'OS aux ressources de toutes les zones.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles auxquelles vous souhaitez appliquer les règles d'OS.
    • Sélectionnez le nom et la version de l'OS. Pour en savoir plus, consultez Attributions de règles d'OS.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez un fichier d'attribution de règles d'OS au format JSON ou YAML. Pour en savoir plus sur ce fichier et obtenir des exemples d'attributions de règles, consultez Attributions de règles d'OS.

  2. Utilisez la commande os-config policy-orchestrators create pour créer et déployer l'attribution de règles d'OS dans le champ d'application spécifié.

      gcloud compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID

    Remplacez les éléments suivants :

    • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources.
    • OS_POLICY_ASSIGNMENT_FILE : chemin absolu du fichier d'attribution de règles d'OS que vous avez créé à l'étape précédente.
    • POLICY_ID : ID unique de l'orchestrateur de règles. Si vous ne spécifiez pas de valeur, l'orchestrateur de règles attribue un ID unique à la ressource d'orchestrateur.

    Exemple

      gcloud compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123

REST

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez un fichier d'attribution de règles d'OS. Il doit s'agir d'un fichier JSON. Pour en savoir plus sur la création d'attributions de règles d'OS ou pour afficher des exemples d'attributions de règles d'OS, consultez la section Attribution de règles d'OS.

  2. Selon le champ d'application dans lequel vous créez l'orchestrateur de règles, utilisez l'une des méthodes suivantes :

    Envoyez une requête POST à la méthode projects.locations.global.policyOrchestrators.create.

    Dans le corps de la requête, collez les spécifications d'attribution des règles de système d'exploitation de l'étape précédente.

    POST https://osconfig.googleapis.com/v2/projects/PROJECT_NUMBER/locations/global/policyOrchestrators

  {
      JSON_OS_POLICY_ORCHESTRATOR
  }

    Remplacez les éléments suivants :

    • PROJECT_NUMBER : ID numérique du projet dans lequel vous souhaitez créer l'orchestrateur de règles.
    • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: folders.locations.global.policyOrchestrators.

    Exemple

    Par exemple, pour créer une attribution de règles d'OS qui installe un fichier MSI Windows téléchargé à partir d'un bucket Cloud Storage à l'aide de l'exemple d'attribution de règles OS, procédez comme suit :

    1. Convertissez l'échantillon en fichier JSON.

    2. Effectuez la requête suivante :

      POST https://osconfig.googleapis.com/v2/projects/123456/locations/global/policyOrchestrators

{
"action": "UPSERT",
"orchestratedResource": {
  "osPolicyAssignmentV1Payload": {
    "instanceFilter": {
      "inventories": [
        {
          "osShortName": "windows"
        }
      ]
    },
    "osPolicies": [
    {
      "id": "install-msi-policy",
      "mode": "ENFORCEMENT",
      "resourceGroups": [
        {
          "resources": [
            {
              "id": "install-msi",
              "pkg": {
                "desiredState": "INSTALLED",
                "msi": {
                  "source": {
                    "gcs": {
                      "bucket": "my-bucket",
                      "generation": "1619136883923956",
                      "object": "my-app.msi"
                    }
                  }
                }
              }
            }
          ]
        }
      ]
    }
    ],
    "rollout": {
      "disruptionBudget": {
        "fixed": 10
      },
      "minWaitDuration": "300s"
    }
  }
},
"orchestrationScope": {
"selectors": [
  {
     "resourceHierarchySelector": {
        "includedProjects": [
        "projects/87654321",
        "projects/4567890"
        ]
      }
    }
  ]
},
"state": "ACTIVE"
}

Dossier

Console

Pour créer un outil d'orchestration des règles et appliquer des attributions de règles d'OS dans un dossier, procédez comme suit :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'actions de la console Cloud de Confiance , puis sélectionnez le dossier dans lequel vous souhaitez créer l'orchestrateur de règles.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Pour en savoir plus sur les conventions d'attribution de noms, consultez Convention d'attribution de noms aux ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, importez le fichier de règle d'OS.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un orchestrateur de règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action UPSERT.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets dans lesquels vous souhaitez déployer les règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM auxquelles vous souhaitez appliquer les règles de système d'exploitation. Vous pouvez également cliquer sur Tout sélectionner pour appliquer les modifications des règles d'OS aux ressources de toutes les zones.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles auxquelles vous souhaitez appliquer les règles d'OS.
    • Sélectionnez le nom et la version de l'OS. Pour en savoir plus, consultez Attributions de règles d'OS.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez un fichier d'attribution de règles d'OS au format JSON ou YAML. Pour en savoir plus sur ce fichier et obtenir des exemples d'attributions de règles, consultez Attributions de règles d'OS.

  2. Utilisez la commande os-config policy-orchestrators create pour créer et déployer l'attribution de règles d'OS dans le champ d'application spécifié.

      gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --folder=FOLDER_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID \
    --include-projects=PROJECT_NUMBERS

    Remplacez les éléments suivants :

    • QUOTA_PROJECT_ID : ID du projet de quota ou projet de facturation.
    • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources.
    • FOLDER_NUMBER : numéro du dossier dans lequel vous souhaitez créer l'orchestrateur de règles.
    • OS_POLICY_ASSIGNMENT_FILE : chemin absolu du fichier d'attribution de règles d'OS que vous avez créé à l'étape précédente.
    • POLICY_ID : ID unique de l'orchestrateur de règles. Si vous ne spécifiez pas de valeur, l'orchestrateur de règles attribue un ID unique à la ressource d'orchestrateur.
    • PROJECT_NUMBERS : liste des projets auxquels vous souhaitez appliquer les attributions de règles d'OS. Vous devez spécifier les numéros de projet, c'est-à-dire les ID numériques uniques des projets.

    Exemple

      gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --folder=123456 \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123 \
      --include-projects=87654321,4567890

REST

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez un fichier d'attribution de règles d'OS. Ce fichier doit être au format JSON. Pour en savoir plus sur la création d'attributions de règles d'OS ou pour afficher des exemples d'attributions de règles d'OS, consultez la section Attribution de règles d'OS.

  2. Selon le champ d'application dans lequel vous créez l'orchestrateur de règles, utilisez l'une des méthodes suivantes :

    Envoyez une requête POST à la méthode folders.locations.global.policyOrchestrators.create.

    Dans le corps de la requête, collez les spécifications d'attribution des règles de système d'exploitation de l'étape précédente.

    POST https://osconfig.googleapis.com/v2/folders/FOLDER_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

{
  JSON_OS_POLICY_ORCHESTRATOR
}

    Remplacez les éléments suivants :

    • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
    • FOLDER_NUMBER : ID numérique du dossier dans lequel vous souhaitez créer l'orchestrateur de stratégies.
    • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: folders.locations.global.policyOrchestrators.

    Exemple

    Par exemple, pour créer une attribution de règles d'OS qui installe un fichier MSI Windows téléchargé à partir d'un bucket Cloud Storage à l'aide de l'exemple d'attribution de règles OS, procédez comme suit :

    1. Convertir l'exemple au format JSON

    2. Effectuez la requête suivante :

      POST https://osconfig.googleapis.com/v2/folders/123456/locations/global/policyOrchestrators \
-H "x-goog-user-project: my-quota-project

{
"action": "UPSERT",
"orchestratedResource": {
  "osPolicyAssignmentV1Payload": {
    "instanceFilter": {
      "inventories": [
        {
          "osShortName": "windows"
        }
      ]
    },
    "osPolicies": [
    {
      "id": "install-msi-policy",
      "mode": "ENFORCEMENT",
      "resourceGroups": [
        {
          "resources": [
            {
              "id": "install-msi",
              "pkg": {
                "desiredState": "INSTALLED",
                "msi": {
                  "source": {
                    "gcs": {
                      "bucket": "my-bucket",
                      "generation": "1619136883923956",
                      "object": "my-app.msi"
                    }
                  }
                }
              }
            }
          ]
        }
      ]
    }
    ],
    "rollout": {
      "disruptionBudget": {
        "fixed": 10
      },
      "minWaitDuration": "300s"
    }
  }
},
"orchestrationScope": {
"selectors": [
  {
     "resourceHierarchySelector": {
        "includedProjects": [
        "projects/87654321",
        "projects/4567890"
        ]
      }
    }
  ]
},
"state": "ACTIVE"
}

Organisation

Console

Pour créer un outil d'orchestration des règles et appliquer des attributions de règles d'OS dans une organisation, procédez comme suit :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'actions de la console Cloud de Confiance , puis sélectionnez l'organisation dans laquelle vous souhaitez créer l'orchestrateur de règles.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Pour en savoir plus sur les conventions d'attribution de noms, consultez Convention d'attribution de noms aux ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, importez le fichier de règle d'OS.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un orchestrateur de règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action UPSERT.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets dans lesquels vous souhaitez déployer les règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM auxquelles vous souhaitez appliquer les règles de système d'exploitation. Vous pouvez également cliquer sur Tout sélectionner pour appliquer les modifications des règles d'OS aux ressources de toutes les zones.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles auxquelles vous souhaitez appliquer les règles d'OS.
    • Sélectionnez le nom et la version de l'OS. Pour en savoir plus, consultez Attributions de règles d'OS.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez une ressource d'attribution de règles d'OS au format JSON ou YAML. Pour en savoir plus sur ce fichier et obtenir des exemples d'attributions de règles, consultez Attributions de règles d'OS.

  2. Utilisez la commande os-config policy-orchestrators create pour créer et déployer l'attribution de règles d'OS dans le champ d'application spécifié.

      gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --organization=ORGANIZATION_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID \
    --include-projects=PROJECT_NUMBERS

    Remplacez les éléments suivants :

    • QUOTA_PROJECT_ID : ID du projet de quota ou projet de facturation.
    • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources.
    • FOLDER_NUMBER : numéro du dossier dans lequel vous souhaitez créer l'orchestrateur de règles.
    • OS_POLICY_ASSIGNMENT_FILE : chemin absolu du fichier d'attribution de règles d'OS que vous avez créé à l'étape précédente.
    • POLICY_ID : ID unique de l'orchestrateur de règles. Si vous ne spécifiez pas de valeur, l'orchestrateur de règles attribue un ID unique à la ressource d'orchestrateur.
    • PROJECT_NUMBERS : liste des projets auxquels vous souhaitez appliquer les attributions de règles d'OS. Vous devez spécifier les numéros de projet, c'est-à-dire les ID numériques uniques des projets.

    Exemple

      gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --organization=123456 \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123 \
      --include-projects=87654321,4567890

REST

Pour créer un orchestrateur de règles, procédez comme suit :

  1. Créez ou téléchargez un fichier d'attribution de règles d'OS. Il doit s'agir d'un fichier JSON. Pour en savoir plus sur la création d'attributions de règles d'OS ou pour afficher des exemples d'attributions de règles d'OS, consultez la section Attribution de règles d'OS.

  2. Selon le champ d'application dans lequel vous créez l'orchestrateur de règles, utilisez l'une des méthodes suivantes :

    Envoyez une requête POST à la méthode organizations.locations.global.policyOrchestrators.create.

    Dans le corps de la requête, collez les spécifications d'attribution des règles de système d'exploitation de l'étape précédente.

    POST https://osconfig.googleapis.com/v2/organizations/ORGANIZATION_NUMBER/locations/global/policyOrchestrators \
-H "x-goog-user-project: QUOTA_PROJECT_ID"

  {
      JSON_OS_POLICY_ORCHESTRATOR
  }

    Remplacez les éléments suivants :

    • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
    • ORGANIZATION_NUMBER : ID numérique de l'organisation dans laquelle vous souhaitez créer l'orchestrateur de règles.
    • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: organizations.locations.global.policyOrchestrators.

    Exemple

    Par exemple, pour créer une attribution de règles d'OS qui installe un fichier MSI Windows téléchargé à partir d'un bucket Cloud Storage à l'aide de l'exemple d'attribution de règles OS, procédez comme suit :

    1. Convertir l'exemple au format JSON

    2. Effectuez la requête suivante :

      POST https://osconfig.googleapis.com/v2/organizations/567890/locations/global/policyOrchestrators \
-H "x-goog-user-project: my-quota-project
{
"action": "UPSERT",
"orchestratedResource": {
  "osPolicyAssignmentV1Payload": {
    "instanceFilter": {
      "inventories": [
        {
          "osShortName": "windows"
        }
      ]
    },
    "osPolicies": [
    {
      "id": "install-msi-policy",
      "mode": "ENFORCEMENT",
      "resourceGroups": [
        {
          "resources": [
            {
              "id": "install-msi",
              "pkg": {
                "desiredState": "INSTALLED",
                "msi": {
                  "source": {
                    "gcs": {
                      "bucket": "my-bucket",
                      "generation": "1619136883923956",
                      "object": "my-app.msi"
                    }
                  }
                }
              }
            }
          ]
        }
      ]
    }
    ],
    "rollout": {
      "disruptionBudget": {
        "fixed": 10
      },
      "minWaitDuration": "300s"
    }
  }
},
"orchestrationScope": {
"selectors": [
  {
     "resourceHierarchySelector": {
        "includedProjects": [
        "projects/87654321",
        "projects/4567890"
        ]
      }
    }
  ]
},
"state": "ACTIVE"
}

Supprimer les attributions de règles d'OS de plusieurs projets

Vous pouvez utiliser l'outil d'orchestration des règles pour supprimer des règles d'OS de plusieurs projets dans votre dossier ou votre organisation en spécifiant l'ID unique de la ressource de règle d'OS.

Projet

Console

Pour supprimer des attributions de règles d'OS dans un projet :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez la page Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'actions de la console Cloud de Confiance , puis sélectionnez le projet à partir duquel vous souhaitez supprimer les attributions de règles OS.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, sélectionnez et importez le fichier de règle d'OS que vous souhaitez supprimer.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un outil d'orchestration des règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action SUPPRIMER.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets à partir desquels vous souhaitez supprimer les attributions de règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
    • Sélectionnez les familles de systèmes d'exploitation.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour supprimer l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour supprimer des règles d'OS de plusieurs projets à l'aide d'un outil d'orchestration de règles, utilisez la commande os-config policy-orchestrators create et spécifiez l'action delete pour le policy-id associé à l'attribution de règle d'OS.

    gcloud compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=OS_POLICY_ASSIGNMENT_FILE \
      --policy-id=POLICY_ID \
      --action=delete

Remplacez les éléments suivants :

  • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles.
  • OS_POLICY_ASSIGNMENT_FILE : chemin absolu du fichier d'attribution de règles d'OS.
  • POLICY_ID : ID de la règle pour la ressource de l'outil d'orchestration des règles d'OS.

Exemple

   gcloud compute os-config policy-orchestrators create my-os-policy-orchestrator \
     --policy-type=os_policy_assignment_v1
     --policy-id=my-policy \
     --action=delete

REST

Pour créer un outil d'orchestration des règles qui supprime les règles d'OS de plusieurs projets, utilisez l'une des méthodes suivantes et spécifiez l'action comme DELETE :

Envoyez une requête POST à la méthode projects.locations.global.policyOrchestrators.create.

Dans le corps de la requête, spécifiez l'ID de règle associé à l'attribution de règles d'OS.

  POST https://osconfig.googleapis.com/v2/projects/PROJECT_NUMBER/locations/global/policyOrchestrators

    {
        JSON_OS_POLICY_ORCHESTRATOR
    }

Remplacez les éléments suivants :

  • PROJECT_NUMBER : ID numérique du projet dans lequel vous souhaitez créer l'orchestrateur de règles.

  • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: folders.locations.global.policyOrchestrators.

    Exemple

    POST https://osconfig.googleapis.com/v2/projects/567890/locations/global/policyOrchestrators

{
  "action": "DELETE",
  "orchestratedResource": {
    "id": "my-policy",
    "osPolicyAssignmentV1Payload": {}
  },
  "orchestrationScope": {
    "selectors": [
      {
        "resourceHierarchySelector": {
          "includedProjects": [
            "projects/87654321",
            "projects/4567890"
          ]
        }
      }
    ]
  },
  "state": "ACTIVE"
}

Dossier

Console

Pour supprimer les attributions de règles d'OS dans un dossier, procédez comme suit :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez la page Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'action de la console Cloud de Confiance , puis sélectionnez le dossier à partir duquel vous souhaitez supprimer les attributions de règles du système d'exploitation.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, sélectionnez et importez le fichier de règle d'OS que vous souhaitez supprimer.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un outil d'orchestration des règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action SUPPRIMER.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets à partir desquels vous souhaitez supprimer les attributions de règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
    • Sélectionnez les familles de systèmes d'exploitation.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour supprimer l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour supprimer des règles d'OS de plusieurs projets à l'aide d'un outil d'orchestration de règles, utilisez la commande os-config policy-orchestrators create et spécifiez l'action delete pour le policy-id associé à l'attribution de règle d'OS.

    gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
      --policy-type=os_policy_assignment_v1 \
      --policy-id=POLICY_ID \
      --action=delete

Remplacez les éléments suivants :

  • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
  • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles.
  • FOLDER_NUMBER : ID numérique du dossier à partir duquel vous souhaitez supprimer les ressources de règles d'OS.
  • POLICY_ID : ID de la règle pour la ressource de l'outil d'orchestration des règles d'OS.

Exemple

  gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
    --folder=123456 \
    --policy-type=os_policy_assignment_v1 \
    --policy-id=my-policy \
    --action=delete

REST

Pour créer un outil d'orchestration des règles qui supprime les règles d'OS de plusieurs projets, utilisez l'une des méthodes suivantes et spécifiez l'action comme DELETE :

Envoyez une requête POST à la méthode folders.locations.global.policyOrchestrators.create.

Dans le corps de la requête, spécifiez l'ID de règle associé à l'attribution de règles d'OS.

 POST https://osconfig.googleapis.com/v2/folders/FOLDER_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

 {
    JSON_OS_POLICY_ORCHESTRATOR
 }

Remplacez les éléments suivants :

  • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
  • FOLDER_NUMBER : ID numérique du dossier à partir duquel vous souhaitez supprimer les ressources de règles d'OS.
  • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit l'ID de la règle, le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: folders.locations.global.policyOrchestrators.

Exemple

Par exemple, pour supprimer des ressources de règles d'OS de plusieurs projets, envoyez la requête suivante :

   POST https://osconfig.googleapis.com/v2/folders/567890/locations/global/policyOrchestrators
   -H "x-goog-user-project: my-quota-project



{
      "action": "DELETE",
      "orchestratedResource": {
        "id": "my-policy",
        "osPolicyAssignmentV1Payload": {}
      },
      "orchestrationScope": {
        "selectors": [
          {
            "resourceHierarchySelector": {
              "includedProjects": [
                "projects/87654321",
                "projects/4567890"
              ]
            }
          }
        ]
      },
      "state": "ACTIVE"
    }

Organisation

Console

Pour supprimer des attributions de règles d'OS dans une organisation, procédez comme suit :

  1. Sur votre client local, créez ou téléchargez un fichier de règle d'OS. Il doit s'agir d'un fichier JSON ou YAML. Pour en savoir plus sur la création de règles d'OS ou pour afficher des exemples de règles d'OS, consultez la page Règles d'OS.
  2. Dans la console Cloud de Confiance , accédez à la page Règles d'OS.

    Accéder aux règles d'OS

  3. Cliquez sur le sélecteur de projet dans la barre d'actions de la console Cloud de Confiance , puis sélectionnez l'organisation à partir de laquelle vous souhaitez supprimer les attributions de règles d'OS.
  4. Cliquez sur Créer un global.
  5. Spécifiez un nom et une description pour l'orchestrateur de règles. Consultez la convention d'attribution de noms des ressources. VM Manager attribue un ID d'orchestrateur unique à l'orchestrateur de règles. Vous pouvez modifier cet ID si nécessaire.
  6. Dans la section Règles d'OS, sélectionnez et importez le fichier de règle d'OS que vous souhaitez supprimer.
  7. Facultatif : Dans la section État, sélectionnez l'une des options suivantes pour spécifier le comportement de l'orchestrateur de règles :
    • ACTIVE : dans cet état, l'outil d'orchestration des règles peut effectuer des actions dès sa création.
    • STOPPED : un outil d'orchestration des règles créé dans cet état n'effectue aucune action immédiatement. Vous pourrez modifier l'orchestrateur de règles ultérieurement pour changer son état.
  8. Dans le champ Action, sélectionnez l'action SUPPRIMER.
  9. Dans la section Champ d'application de l'orchestration, spécifiez les dossiers et les projets à partir desquels vous souhaitez supprimer les attributions de règles d'OS. Vous ne devez saisir que les numéros de projet et de dossier dans ces champs, par exemple 123456,7654321.
  10. Sélectionnez les zones contenant les VM à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
  11. Facultatif : Dans la section Instances de VM cibles, spécifiez les VM cibles à partir desquelles vous souhaitez supprimer les attributions de règles d'OS.
    • Sélectionnez les familles de systèmes d'exploitation.
    • Vous pouvez filtrer davantage les VM en spécifiant des étiquettes d'inclusion et d'exclusion.

      Par exemple, vous pouvez sélectionner toutes les VM Ubuntu dans votre environnement de test et exclure celles qui exécutent Google Kubernetes Engine, en spécifiant les éléments suivants :

      • Nom court du système d'exploitation : ubuntu
      • Inclure : env:test, env:staging
      • Exclure : goog-gke-node
  12. Spécifiez un plan de déploiement pour supprimer l'attribution de règles d'OS.
    • Spécifiez la taille de la vague (également appelé budget d'interruption). Exemple : 10%
    • Indiquez le temps d'attente. Par exemple, 15 minutes.
  13. Cliquez sur Créer.

gcloud

Pour supprimer des règles d'OS de plusieurs projets à l'aide d'un outil d'orchestration de règles, utilisez la commande os-config policy-orchestrators create et spécifiez l'action delete pour le policy-id associé à l'attribution de règle d'OS.

  gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --organization=ORGANIZATION_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-id=POLICY_ID \
    --action=delete

Remplacez les éléments suivants :

  • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
  • ORCHESTRATOR_NAME : nom de l'orchestrateur de règles.
  • ORGANIZATION_NUMBER : ID numérique de l'organisation à partir de laquelle vous souhaitez supprimer les ressources de règles d'OS.
  • POLICY_ID : ID de la règle pour la ressource de l'outil d'orchestration des règles d'OS.

Exemple

  gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
    --organization=987654321
    --policy-type=os_policy_assignment_v1
    --policy-id=my-policy \
    --action=delete

REST

Pour créer un outil d'orchestration des règles qui supprime les règles d'OS de plusieurs projets, utilisez l'une des méthodes suivantes et spécifiez l'action comme DELETE :

Envoyez une requête POST à la méthode organizations.locations.global.policyOrchestrators.create.

Dans le corps de la requête, spécifiez l'ID de règle associé à l'attribution de règles d'OS.

 POST https://osconfig.googleapis.com/v2/organizations/ORGANIZATION_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

{
    JSON_OS_POLICY_ORCHESTRATOR
}

Remplacez les éléments suivants :

  • QUOTA_PROJECT_ID : ID du projet de quota ou de facturation.
  • ORGANIZATION_NUMBER : ID numérique de l'organisation à partir de laquelle vous souhaitez supprimer les ressources de règles d'OS.
  • JSON_OS_POLICY_ORCHESTRATOR : objet de l'outil d'orchestration des règles au format JSON qui définit l'ID de la règle, le champ d'application de l'outil d'orchestration, la ressource orchestrée et l'état de l'orchestration. Pour plus d'informations sur les paramètres et le format, consultez la page Resource: organizations.locations.global.policyOrchestrators.

Exemple

Par exemple, pour supprimer des ressources de règles d'OS de plusieurs projets, envoyez la requête suivante :

  POST https://osconfig.googleapis.com/v2/organizations/567890/locations/global/policyOrchestrators
  -H "x-goog-user-project: my-quota-project



{
      "action": "DELETE",
      "orchestratedResource": {
        "id": "my-policy",
        "osPolicyAssignmentV1Payload": {}
      },
      "orchestrationScope": {
        "selectors": [
          {
            "resourceHierarchySelector": {
              "includedProjects": [
                "projects/87654321",
                "projects/4567890"
              ]
            }
          }
        ]
      },
      "state": "ACTIVE"
    }

Étape suivante