AlloyDB-Organisationsrichtlinien – Übersicht

Auf dieser Seite werden die Organisationsrichtlinien für AlloyDB for PostgreSQL beschrieben, mit denen Organisationsadministratoren Einschränkungen für die Konfiguration von Clustern und Back-ups durch Nutzer in dieser Organisation festlegen können.

Projekte, Ordner und Organisationen sind Containerressourcen, die in einer übergeordneten/untergeordneten Ressourcenhierarchie organisiert sind. Eine Organisation ist der Stammknoten in dieser Hierarchie. Weitere Informationen finden Sie unter Ressourcenhierarchie.

Organisationsrichtlinien enthalten Regeln, sogenannte Einschränkungen, die der Organisationsadministrator für ein Projekt, einen Ordner oder eine Organisation festlegt. Durch Einschränkungen wird eine Richtlinie für alle Cluster und Sicherungen erzwungen. Wenn Sie beispielsweise in einer Entität, die einer Organisationsrichtlinie unterliegt, einen Cluster oder eine Sicherung erstellen, wird geprüft, ob die Cluster- oder Sicherungskonfiguration die Anforderungen der Einschränkung erfüllt. Wenn die Prüfung fehlschlägt, erstellt AlloyDB den Cluster oder die Sicherungsressource nicht.

Wenn Sie einer Organisation oder einem Ordner, der eine Organisationsrichtlinie verwendet, Projekte hinzufügen, übernehmen die Projekte die Einschränkungen dieser Richtlinie.

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Einführung in den Organisationsrichtliniendienst, Einschränkungen und Informationen zu Evaluierungen der Hierarchie.

Die folgenden Organisationsrichtlinien gelten speziell für AlloyDB:

Vordefinierte Organisationsrichtlinien

Als Erstes können Sie die CMEK-Einstellungen (Customer-Managed Encryption Key) von AlloyDB-Clustern und ‑Back-ups verwenden. Weitere Informationen finden Sie unter Vordefinierte Organisationsrichtlinien verwenden. Wenn Sie andere unterstützte Einstellungen detailliert und individuell anpassen möchten, verwenden Sie benutzerdefinierte Einschränkungen. Weitere Informationen finden Sie unter Benutzerdefinierte Organisationsrichtlinien verwenden.

Organisationsrichtlinien für vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK)

AlloyDB unterstützt die folgenden Einschränkungen für Organisationsrichtlinien:

  • constraints/gcp.restrictNonCmekServices: erfordert CMEK-Schutz für die alloydb.googleapis.com API. Wenn Sie diese Einschränkung hinzufügen und alloydb.googleapis.com in die Richtlinienliste Deny der Dienste aufnehmen, erstellt AlloyDB keinen neuen Cluster oder keine neue Sicherungsressource, es sei denn, der neue Cluster oder die neue Sicherungsressource ist mit CMEK aktiviert.
  • constraints/gcp.restrictCmekCryptoKeyProjects: schränkt ein, welche Cloud KMS CryptoKeys für den CMEK-Schutz in AlloyDB-Clustern und ‑Sicherungen verwendet werden. Wenn AlloyDB einen neuen Cluster oder ein neues Backup mit CMEK und dieser Einschränkung erstellt, muss der CryptoKey aus einem zulässigen Projekt, Ordner oder einer Organisation stammen.

Diese Einschränkungen tragen dazu bei, den CMEK-Schutz in einer Organisation zu gewährleisten, und werden nur für neu erstellte AlloyDB-Cluster und ‑Sicherungen erzwungen. Weitere Informationen finden Sie unter CMEK-Organisationsrichtlinien und Einschränkungen für Organisationsrichtlinien.

Benutzerdefinierte Organisationsrichtlinien

Wenn Sie eine detaillierte, anpassbare Steuerung der Einstellungen wünschen, können Sie benutzerdefinierte Einschränkungen erstellen und in einer benutzerdefinierten Organisationsrichtlinie verwenden. Mit benutzerdefinierten Organisationsrichtlinien können Sie Sicherheit, Compliance und Governance verbessern.

Informationen zum Erstellen benutzerdefinierter Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien verwenden. Sie können sich auch eine Liste der unterstützten benutzerdefinierten Einschränkungen und Vorgänge ansehen.

Erzwingungsregeln für Organisationsrichtlinien

AlloyDB erzwingt die Organisationsrichtlinie für die folgenden Vorgänge:

  • Instanzerstellung
  • Instanzaktualisierung
  • Clustererstellung
  • Sicherung erstellen

Wie alle Einschränkungen für Organisationsrichtlinien gelten Richtlinienänderungen nicht rückwirkend für vorhandene Cluster und Sicherungen. Hier einige Beispiele:

  • Eine neue Richtlinie hat keine Auswirkungen auf vorhandene Instanzen, Cluster oder Sicherungen.
  • Sofern ein Nutzer die Instanz-, Cluster- oder Sicherungskonfiguration nicht über die Google Cloud -Konsole, die gcloud CLI oder RPC von einem Compliance-Status in einen Nicht-Compliance-Status ändert, bleibt eine vorhandene Instanz-, Cluster- oder Sicherungskonfiguration gültig.
  • Ein geplantes Wartungsupdate führt nicht zu einer Richtlinienerzwingung, da durch die Wartung die Konfiguration von Instanzen, Clustern oder Back-ups nicht geändert wird.

Nächste Schritte