Menggunakan kebijakan organisasi kustom

Google Cloud Kebijakan Organisasi memberi Anda kontrol terpusat dan terprogram atas resource organisasi. Sebagai administrator kebijakan organisasi, Anda dapat menentukan kebijakan organisasi, yang merupakan serangkaian batasan yang disebut batasan yang berlaku untuk Google Cloud resource dan turunan dari resource tersebut dalam hierarki resourceGoogle Cloud . Anda dapat menerapkan kebijakan organisasi di level organisasi, folder, atau project.

Kebijakan Organisasi menyediakan batasan yang telah ditetapkan untuk berbagai layananGoogle Cloud . Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat kebijakan organisasi kustom.

Dengan menerapkan kebijakan organisasi kustom, Anda dapat menerapkan konfigurasi dan batasan yang konsisten. Hal ini memverifikasi bahwa cluster, instance, dan cadangan AlloyDB untuk PostgreSQL Anda mematuhi praktik terbaik keamanan dan persyaratan peraturan.

Jika Anda mencoba membuat atau mengupdate cluster, instance, atau cadangan saat batasan kustom diterapkan dan tidak sesuai dengan batasan, operasi akan gagal. Project apa pun yang ditambahkan ke organisasi atau folder yang menggunakan kebijakan organisasi kustom akan mewarisi batasan kebijakan tersebut.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada folder, Google Cloud akan menerapkan kebijakan tersebut pada semua project di folder tersebut. Untuk mempelajari lebih lanjut perilaku ini dan cara mengubahnya, lihat Aturan evaluasi hierarki.

Harga

Layanan Kebijakan Organisasi, termasuk kebijakan organisasi yang telah ditetapkan dan khusus, ditawarkan tanpa biaya.

Batasan

Seperti semua batasan kebijakan organisasi, perubahan kebijakan tidak berlaku secara surut pada cluster, instance, dan cadangan AlloyDB for PostgreSQL yang ada.

  • Kebijakan baru tidak memengaruhi konfigurasi cluster, instance, dan cadangan yang ada.
  • Konfigurasi cluster, instance, dan cadangan yang ada tetap valid, kecuali jika Anda mengubah konfigurasi cluster, instance, atau cadangan dari status kepatuhan menjadi ketidakpatuhan menggunakan konsol Google Cloud , Google Cloud CLI, atau RPC.
  • Update pemeliharaan terjadwal tidak menyebabkan penegakan kebijakan, karena pemeliharaan tidak mengubah konfigurasi cluster, instance, atau cadangan.
  • Pencadangan yang dibuat menggunakan fitur Pencadangan dan Pemulihan Berkelanjutan, serta Pencadangan Otomatis tidak akan dibatasi oleh kebijakan itu sendiri.

Sebelum memulai

  1. Siapkan project Anda.
    1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

    2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

    3. Verify that billing is enabled for your Google Cloud project.

    4. Enable the AlloyDB API.

      Enable the API

    5. Install the Google Cloud CLI.

    6. Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

    7. Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut: 

      gcloud init

    8. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

      Go to project selector

    9. Verify that billing is enabled for your Google Cloud project.

    10. Enable the AlloyDB API.

      Enable the API

    11. Install the Google Cloud CLI.

    12. Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

    13. Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut: 

      gcloud init
    14. Verifikasi bahwa Anda mengetahui ID organisasi Anda.

      15. Peran yang diperlukan

      Untuk mendapatkan izin yang diperlukan untuk mengelola kebijakan organisasi, minta administrator untuk memberi Anda peran IAM berikut:

      Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

      Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran kustom atau peran yang telah ditentukan lainnya.

      Membuat batasan kustom

      Batasan kustom ditentukan dalam file YAML oleh resource, metode, kondisi, dan tindakan yang didukung oleh layanan tempat Anda menerapkan kebijakan organisasi. Kondisi untuk batasan kustom Anda ditentukan menggunakan Common Expression Language (CEL). Untuk mengetahui informasi selengkapnya tentang cara membangun kondisi dalam batasan khusus menggunakan CEL, lihat bagian CEL tentang Membuat dan mengelola batasan kustom.

      Kebijakan organisasi ditentukan oleh nilai yang ditetapkan untuk setiap batasan. Administrator kebijakan organisasi dapat membuat batasan kustom untuk membatasi konfigurasi IP publik AlloyDB di tingkat project, folder, atau organisasi.

      Anda dapat membuat batasan kustom—misalnya, customConstraints/custom.restrictPublicIP, untuk membatasi akses IP publik pada instance AlloyDB. Batasan boolean ini membatasi konfigurasi IP publik di instance AlloyDB, tempat batasan ini ditetapkan. Batasan ini tidak berlaku surut. Instance AlloyDB dengan akses IP publik yang ada masih berfungsi meskipun batasan ini telah diterapkan.

      Secara default, akses IP publik ke instance AlloyDB diizinkan.

      Buat file YAML untuk batasan kustom sebagai berikut:

      name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- alloydb.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

      Ganti kode berikut:

      • ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.

      • CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus dimulai dengan custom., dan hanya boleh menyertakan huruf besar, huruf kecil, atau angka, misalnya, custom.restrictPublicIP. Panjang maksimum kolom ini adalah 70 karakter, tidak menghitung awalan, misalnya, organizations/123456789/customConstraints/custom.

      • RESOURCE_NAME: nama (bukan URI) resource REST AlloyDB yang berisi objek dan kolom yang ingin Anda batasi. Contoh, Instance.

      • CONDITION: kondisi CEL yang ditulis berdasarkan representasi resource layanan yang didukung. Kolom ini memiliki panjang maksimal 1.000 karakter. Lihat Batasan kustom yang didukung untuk mengetahui informasi selengkapnya tentang resource yang tersedia untuk menulis kondisi. Contoh, "resource.networkConfig.enablePublicIp == true".

      • ACTION: tindakan yang akan diambil jika condition terpenuhi. Ini dapat berupa ALLOW atau DENY.

      • DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.

      • DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2.000 karakter.

      Untuk mengetahui informasi selengkapnya tentang cara membuat batasan kustom, lihat Menentukan batasan kustom.

      Menyiapkan batasan kustom

      Setelah membuat file YAML untuk batasan kustom baru, Anda harus menyiapkannya agar tersedia untuk kebijakan organisasi di organisasi Anda. Untuk menyiapkan batasan kustom, gunakan perintah gcloud org-policies set-custom-constraint: 
      gcloud org-policies set-custom-constraint CONSTRAINT_PATH
       Ganti CONSTRAINT_PATH dengan jalur lengkap ke file batasan kustom Anda. Contohnya, /home/user/customconstraint.yaml Setelah selesai, batasan kustom Anda tersedia sebagai kebijakan organisasi dalam daftar kebijakan organisasi. Google Cloud Untuk memverifikasi bahwa ada batasan kustom, gunakan perintah gcloud org-policies list-custom-constraints: 
      gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
       Ganti ORGANIZATION_ID dengan ID resource organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat Melihat kebijakan organisasi.

      Menerapkan kebijakan organisasi kustom

      Anda dapat menerapkan batasan dengan membuat kebijakan organisasi yang mereferensikannya, lalu menerapkan kebijakan organisasi tersebut ke resource Google Cloud .

      Konsol

      1. Di konsol Google Cloud , buka halaman Organization policies.

        Buka Organization policies

      2. Dari pemilih project, pilih project yang ingin Anda tetapkan kebijakan organisasinya.
      3. Dari daftar di halaman Organization policies, pilih batasan Anda untuk melihat halaman Policy details untuk batasan tersebut.
      4. Untuk mengonfigurasi kebijakan organisasi untuk resource ini, klik Manage policy.
      5. Di halaman Edit kebijakan, pilih Ganti kebijakan induk.
      6. Klik Add a rule.
      7. Di bagian Penerapan, pilih apakah penerapan kebijakan organisasi ini diaktifkan atau dinonaktifkan.
      8. Opsional: Untuk membuat kebijakan organisasi bersyarat pada tag, klik Tambahkan kondisi. Perhatikan bahwa jika menambahkan aturan kondisional ke kebijakan organisasi, Anda harus menambahkan setidaknya satu aturan tanpa syarat atau kebijakan tidak dapat disimpan. Untuk mengetahui informasi selengkapnya, lihat Menetapkan kebijakan organisasi dengan tag.
      9. Klik Uji perubahan untuk menyimulasikan efek kebijakan organisasi. Simulasi kebijakan tidak tersedia untuk batasan terkelola lama. Untuk mengetahui informasi selengkapnya, lihat Menguji perubahan kebijakan organisasi dengan Policy Simulator.
      10. Untuk menyelesaikan dan menerapkan kebijakan organisasi, klik Set policy. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

      gcloud

      Untuk membuat kebijakan organisasi dengan aturan boolean, buat file YAML kebijakan yang merujuk batasan: 

            name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

      Ganti kode berikut:

      • PROJECT_ID: project tempat Anda ingin menerapkan batasan.
      • CONSTRAINT_NAME: nama yang Anda tentukan untuk batasan kustom. Contoh, custom.restrictPublicIP

      Untuk menerapkan kebijakan organisasi yang berisi batasan, jalankan perintah berikut: 

          gcloud org-policies set-policy POLICY_PATH

      Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

      Batasan dan operasi kustom yang didukung

      Anda dapat menerapkan batasan khusus pada resource instance, cluster, dan cadangan AlloyDB. Semua kolom v1 pada resource instance, cluster, dan cadangan AlloyDB didukung untuk batasan kustom. Anda dapat menerapkan batasan kustom selama operasi AlloyDB berikut:

      • Pembuatan instance
      • Update instance
      • Pembuatan cluster
      • Update cluster
      • Pembuatan cadangan

      Tabel berikut memberikan contoh beberapa batasan kustom umum:

      Deskripsi Contoh sintaksis batasan Operasi yang didukung
      Membatasi akses IP publik menggunakan kebijakan organisasi 
          name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictPublicIP
    resourceTypes:
    - alloydb.googleapis.com/Instance
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.networkConfig.enablePublicIp == true"
    actionType: DENY
    displayName: Restrict public IP access on AlloyDB instances
    description: Prevent users from enabling public IP on instance creation and update.
      • Pembuatan instance
      • Update instance
      Terapkan tag wajib menggunakan kebijakan organisasi. 
          name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceMandatoryTags
    resourceTypes:
    - alloydb.googleapis.com/Cluster
    methodTypes:
    - GOVERN_TAGS
    condition: "resource.hasDirectTagKey(TAG_NAME")"
    actionType: ALLOW
    displayName: Enforce mandatory tags on AlloyDB cluster resource.
    description: Prevent users from cluster creation if mandatory tags are not provided.

      Ganti TAG_NAME dengan nama tag.
      • Pembuatan cluster
      • Pembuatan cadangan
      Menerapkan pencadangan berkelanjutan untuk semua cluster. 
          name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceContBackupConfig
    resourceTypes:
    - alloydb.googleapis.com/Cluster
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.continuousBackupConfig.enabled == false"
    actionType: DENY
    displayName: Enforce continuous backup configuration on AlloyDB clusters
    description: Prevent users from disabling continuous backup configuration on cluster creation and update.
      • Pembuatan cluster
      • Update cluster
      Membatasi pencadangan sesuai permintaan untuk cluster tertentu 
          name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictOnDemandBackup
    resourceTypes:
    - alloydb.googleapis.com/Backup
    methodTypes:
    - CREATE
    condition: "resource.type == 'ON_DEMAND' && resource.clusterName.contains('CLUSTER_NAME')"
    actionType: DENY
    displayName: Restrict taking on-demand backup of certain clusters
    description: Prevent users from taking on-demand backups for certain clusters.

      Ganti CLUSTER_NAME dengan nama cluster.
      • Pembuatan cadangan

      Langkah berikutnya