Faça a gestão de recursos do Cloud Storage através de restrições personalizadas

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de organização.

   Aceda às políticas da organização

2. Selecione o Selecionador de projetos na parte superior da página.

3. No seletor de projetos, selecione o recurso para o qual quer definir a política de organização.

4. Clique em add Restrição personalizada.

5. No campo Nome a apresentar, introduza um nome simples para a restrição. Este campo tem um comprimento máximo de 200 carateres. Não use IIP nem dados confidenciais nos nomes das restrições, porque podem ser expostos em mensagens de erro.

6. Na caixa ID da restrição, introduza o nome que quer para a nova restrição personalizada. Uma restrição personalizada tem de começar com custom. e só pode incluir letras maiúsculas, letras minúsculas ou números, por exemplo, custom.enforceBucketVersioning. O comprimento máximo deste campo é de 70 carateres, sem contar com o prefixo, por exemplo, organizations/123456789/customConstraints/custom..

7. No campo Descrição, introduza uma descrição simples da restrição a apresentar como mensagem de erro quando a política for violada. Este campo tem um comprimento máximo de 2000 carateres.

8. No campo Tipo de recurso, selecione o nome do Trusted Cloud recurso REST que contém o objeto e o campo que quer restringir. Por exemplo, storage.googleapis.com/Bucket.

9. Em Método de aplicação, selecione se quer aplicar a restrição no método REST CREATE ou UPDATE.

10. Para definir uma condição, clique em edit Editar condição.

    1. No painel Adicionar condição, crie uma condição CEL que faça referência a um recurso de serviço suportado, por exemplo, resource.versioning.enabled == true. Este campo tem um comprimento máximo de 1000 carateres.

    2. Clique em Guardar.

11. Em Ação, selecione se quer permitir ou recusar o método avaliado se a condição for cumprida.

12. Clique em Criar restrição.

Quando tiver introduzido um valor em cada campo, a configuração YAML equivalente para esta restrição personalizada é apresentada à direita.

gcloud

Para criar uma restrição personalizada com a Google Cloud CLI, crie um ficheiro YAML para a restrição personalizada:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Substitua o seguinte:

• ORGANIZATION_ID: o ID da sua organização, como 123456789.

• CONSTRAINT_NAME: o nome que quer para a nova restrição personalizada. Uma restrição personalizada tem de começar com custom. e só pode incluir letras maiúsculas, letras minúsculas ou números, por exemplo, custom.enforceBucketVersioning. O comprimento máximo deste campo é de 70 carateres, sem contar com o prefixo, por exemplo, organizations/123456789/customConstraints/custom..

• RESOURCE_NAME: o nome totalmente qualificado do recurso REST que contém o objeto e o campo que quer restringir.Trusted Cloud Por exemplo, storage.googleapis.com/Bucket.

• METHOD1,METHOD2: uma lista de métodos RESTful para os quais aplicar a restrição. Pode ser CREATE ou CREATE e UPDATE.

• CONDITION: uma condição CEL que se refere a um recurso de serviço suportado, por exemplo, "resource.versioning.enabled == true". Este campo tem um comprimento máximo de 1000 carateres. Para ver detalhes sobre a utilização do IEC, consulte o artigo Idioma de expressão comum.

• ACTION: a ação a tomar se a condição condition for cumprida. Pode ser ALLOW ou DENY.

• DISPLAY_NAME: um nome simples para a restrição. Este campo tem um comprimento máximo de 200 carateres.

• DESCRIPTION: uma descrição acessível da restrição a apresentar como uma mensagem de erro quando a política é violada. Este campo tem um comprimento máximo de 2000 carateres.

Depois de criar o ficheiro YAML para uma nova restrição personalizada, tem de o configurar para o disponibilizar para as políticas da organização na sua organização. Para configurar uma restrição personalizada, use o comando gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Se o pedido for bem-sucedido, o resultado é semelhante ao seguinte:

CUSTOM_CONSTRAINT             ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                     DISPLAY_NAME
custom.uniformBucketLevelAccess  DENY         CREATE,UPDATE  storage.googleapis.com/Bucket  Enable object versioning

gcloud

1. Crie um ficheiro de restrições enforceCMEK.yaml com as seguintes informações:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.customerManagedEncryptionKeys
   resource_types: storage.googleapis.com/Bucket
   method_types:
   – CREATE
   – UPDATE
   condition: "has(resource.encryption.defaultKmsKeyName)"
   action_type: ALLOW
   display_name: Enforce Cloud KMS key
   description: When this constraint is enforced, newly created buckets and newly updated buckets must be encrypted with a
   Cloud KMS key. The Cloud KMS key on existing buckets can be updated but not deleted.

2. Defina a restrição personalizada.

   gcloud org-policies set-custom-constraint enforceCMEK.yaml
   

3. Crie um ficheiro de políticas enforceCMEK-policy.yaml com as seguintes informações.

   name: projects/PROJECT_ID/policies/custom.customerManagedEncryptionKeys
   spec:
     rules:
     – enforce: true

   Substitua PROJECT_ID pelo ID do seu projeto.

   Neste exemplo, aplicamos esta restrição ao nível do projeto, mas também pode defini-la ao nível da organização ou da pasta.

4. Aplique a política.

   gcloud org-policies set-policy enforceCMEK-policy.yaml