Adicione políticas de organização predefinidas

Esta página descreve como adicionar políticas da organização em instâncias do Cloud SQL para colocar restrições no Cloud SQL ao nível do projeto, da pasta ou da organização. Para uma vista geral, consulte o artigo Políticas de organização do Cloud SQL.

Antes de começar

  1. In the Trusted Cloud console, on the project selector page, select or create a Trusted Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Trusted Cloud project.

  3. Install the gcloud CLI.

  4. Configure a CLI gcloud para usar a sua identidade federada.

    Para mais informações, consulte o artigo Inicie sessão na CLI gcloud com a sua identidade federada.

  5. Para inicializar a CLI gcloud, execute o seguinte comando: 

    gcloud init
  6. Adicione a função administrador da política da organização (roles/orgpolicy.policyAdmin) ao seu utilizador ou conta de serviço na página IAM e administração.

    Aceda à página de contas do IAM

  7. Consulte as restrições antes de realizar este procedimento.

    8. Adicione a política organizacional de ligação

    Para uma vista geral, consulte o artigo Políticas de organização de ligações.

    Para adicionar uma política organizacional de associação:

    1. Aceda à página Políticas da organização.

      Aceda à página Políticas da organização

    2. Clique no menu pendente de projetos no separador superior e, de seguida, selecione o projeto, a pasta ou a organização que requer a política de organização. A página Políticas da organização apresenta uma lista de restrições das políticas da organização disponíveis.

    3. Filtre pela restrição name ou display_name.

      • Para desativar o acesso à Internet ou a partir desta:

        name: "constraints/sql.restrictPublicIp"
display_name: "Restrict Public IP access on Cloud SQL instances"

      • Para desativar o acesso a partir da Internet quando a autenticação IAM está em falta (isto não afeta o acesso através do IP privado):

        name: "constraints/sql.restrictAuthorizedNetworks"
display_name: "Restrict Authorized Networks on Cloud SQL instances"

    4. Selecione o Nome da política na lista.

    5. Clique em Edit.

    6. Clique em Personalizar.

    7. Clique em Adicionar regra.

    8. Em Aplicação, clique em Ativada.

    9. Clique em Guardar.

    Adicione a política da organização CMEK

    Para uma vista geral, consulte o artigo Políticas de organização de chaves de encriptação geridas pelo cliente.

    Para adicionar uma política da organização de CMEK:

    1. Aceda à página Políticas da organização.

      Aceda à página Políticas da organização

    2. Clique no menu pendente de projetos no separador superior e, de seguida, selecione o projeto, a pasta ou a organização que requer a política de organização. A página Políticas da organização apresenta uma lista de restrições das políticas da organização disponíveis.

    3. Filtre pela restrição name ou display_name.

      • Para colocar nomes de serviços numa lista de RECUSA e garantir que a CMEK é usada nos recursos desse serviço:

        name: "constraints/gcp.restrictNonCmekServices"
display_name: "Restrict which services may create resources without CMEK"

        Tem de adicionar sqladmin.googleapis.com à lista de serviços restritos com a opção Recusar.

      • Para colocar IDs de projetos numa lista de PERMITIDOS para garantir que apenas são usadas chaves de uma instância do Cloud KMS nesse projeto para CMEK.

        name: "constraints/gcp.restrictCmekCryptoKeyProjects"
display_name: "Restrict which projects may supply KMS CryptoKeys for CMEK"

    4. Selecione o Nome da política na lista.

    5. Clique em Edit.

    6. Clique em Personalizar.

    7. Clique em Adicionar regra.

    8. Em Valores de políticas, clique em Personalizado.

    9. Para constraints/gcp.restrictNonCmekServices: a. Em Tipos de políticas, selecione Recusar. b. Em Valores personalizados, introduza sqladmin.googleapis.com.

      Para constraints/gcp.restrictCmekCryptoKeyProjects: a. Em Tipos de políticas, selecione Permitir. b. Em Valores personalizados, introduza o recurso no seguinte formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID ou projects/PROJECT_ID.

    10. Clique em Concluído.

    11. Clique em Guardar.

    O que se segue?