Restrinja a utilização do Cloud Interconnect

Este documento descreve como restringir o conjunto de redes da nuvem virtual privada (VPC) que podem usar o Cloud Interconnect.

Por predefinição, qualquer rede VPC pode usar o Cloud Interconnect. Para controlar que redes VPC podem usar o Cloud Interconnect, pode definir uma política da organização. Para informações gerais sobre as políticas de organização, consulte o artigo Introdução ao serviço de políticas de organização.

A utilização do Cloud Interconnect para ligar uma rede VPC à sua rede no local requer uma associação de VLAN. Uma política da organização para restringir a utilização do Cloud Interconnect permite ou nega a criação de anexos de VLAN a partir de redes VPC especificadas. Pode definir uma política que permita ou negue a criação de anexos de VLAN a partir de uma rede VPC específica ou de todas as redes VPC num recurso de projeto, pasta ou organização.

Pode usar as seguintes restrições quando definir a sua política:

  • constraints/compute.restrictDedicatedInterconnectUsage

    Esta restrição define o conjunto de redes VPC que pode usar quando cria uma associação de VLAN através da interligação dedicada.

  • constraints/compute.restrictPartnerInterconnectUsage

    Esta restrição define o conjunto de redes VPC que pode usar quando cria uma associação de VLAN através do Partner Interconnect.

Quando define uma política da organização, esta restringe apenas a criação de associações de VLAN no futuro. A política não afeta as associações de VLAN criadas anteriormente.

Se um utilizador tentar criar uma associação de VLAN que viole uma política da organização, é apresentada uma mensagem de erro. Segue-se uma mensagem de erro de exemplo da execução de gcloud compute interconnects attachments partner create:

ERROR: (gcloud.compute.interconnects.attachments.partner.create) Could not fetch resource:
- Constraint constraints/compute.restrictPartnerInterconnectUsage violated for projects/example-project.
projects/example-project/global/networks/example-network is not allowed to use the Partner Interconnect.

Esta página inclui procedimentos de exemplo para definir políticas da organização de modo a restringir a utilização da Cloud Interconnect.

Para mais informações, incluindo procedimentos gerais para definir políticas da organização, consulte o seguinte:

Antes de começar

Para definir políticas da organização, tem de ter a função de administrador da política da organização (roles/orgpolicy.policyAdmin).

Defina uma política para recusar uma rede de VPC específica

Para definir uma política que impeça uma rede VPC específica de usar o Cloud Interconnect, siga estes passos:

  1. Encontre o ID da sua organização introduzindo o seguinte comando:

    gcloud organizations list

    O resultado do comando tem o seguinte aspeto:

    DISPLAY NAME             ID
example-organization     29252605212

  2. Crie um ficheiro JSON que defina a sua política. O ficheiro JSON de exemplo seguinte define uma política que impede que network-1 em project-1 use o Dedicated Interconnect:

    {
  "Constraint": "constraints/compute.restrictDedicatedInterconnectUsage",
  "listPolicy": {
    "deniedValues": [
      "projects/project-1/global/networks/network-1"
   ]
  }
}

  3. Use o comando gcloud Resource Manager set-policy para definir a política da organização:

    gcloud resource-manager org-policies set-policy JSON_FILE_NAME
   --organization=ORGANIZATION_ID

    Substitua o seguinte:

    • JSON_FILE_NAME: o nome do ficheiro JSON que criou no passo anterior, como policy-name.json

    • ORGANIZATION_ID: o ID da organização que encontrou anteriormente

Defina uma política para recusar todas as redes VPC

Para definir uma política que impeça todas as redes VPC de usar o Cloud Interconnect, siga estes passos:

  1. Encontre o ID da sua organização introduzindo o seguinte comando:

    gcloud organizations list

    O resultado do comando tem o seguinte aspeto:

    DISPLAY NAME             ID
example-organization     29252605212

  2. Crie um ficheiro JSON que defina a sua política. O ficheiro JSON de exemplo seguinte define uma política que impede que todas as redes VPC usem a interligação dedicada:

    {
  "Constraint": "constraints/compute.restrictDedicatedInterconnectUsage",
  "listPolicy": {
    "allValues": "DENY"
   }
}

  3. Use o comando gcloud Resource Manager set-policy para definir a política da organização:

    gcloud resource-manager org-policies set-policy JSON_FILE_NAME
   --organization=ORGANIZATION_ID

    Substitua o seguinte:

    • JSON_FILE_NAME: o nome do ficheiro JSON que criou no passo anterior, como policy-name.json

    • ORGANIZATION_ID: o ID da organização que encontrou anteriormente

Defina uma política ao nível da organização, da pasta ou do projeto

As secções anteriores descrevem como recusar uma rede de VPC específica ou todas as redes de VPC. Também pode usar a sintaxe descrita em Restrições de lista para permitir ou negar redes VPC ao nível da organização, do projeto ou da pasta.

O que se segue?