Restringir o uso de recursos para cargas de trabalho

Nesta página, explicamos como ativar ou desativar restrições para recursos sem compliance em pastas do Assured Workloads. Por padrão, o pacote de controle de cada pasta determina quais produtos são compatíveis, determinando assim quais recursos podem ser usados. Essa funcionalidade é aplicada pela restrição da política da organização gcp.restrictServiceUsage, que é aplicada automaticamente na pasta quando ela é criada.

Antes de começar

Papéis do IAM obrigatórios

Para modificar as restrições de uso de recursos, o autor da chamada precisa receber permissões do Identity and Access Management (IAM, na sigla em inglês) usando um papel predefinido que inclua um conjunto mais amplo de permissões ou um papel personalizado restrito às permissões mínimas necessárias.

As permissões a seguir são necessárias na carga de trabalho de destino:

  • assuredworkloads.workload.update
  • orgpolicy.policy.set

Essas permissões estão incluídas nos dois papéis a seguir:

  • Administrador do Assured Workloads (roles/assuredworkloads.admin)
  • Editor do Assured Workloads (roles/assuredworkloads.editor)

Consulte Papéis do IAM para mais informações sobre os papéis do Assured Workloads.

Ativar restrições de uso de recursos

Para ativar a restrição de uso de recursos para uma carga de trabalho, execute o comando a seguir. Este comando aplica restrições à pasta do Assured Workloads de acordo com os serviços com suporte do pacote de controle:

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

Substitua os seguintes valores de marcador pelos seus próprios valores:

  • TOKEN: o token de autenticação da solicitação. Por exemplo: ya29.a0AfB_byDnQW7A2Vr5...tanw0427

    Se você tiver o SDK Google Cloud instalado no seu ambiente e estiver autenticado, use o comando gcloud auth print-access-token: -H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

  • SERVICE_ENDPOINT: o endpoint de serviço desejado, por exemplo: https://us-central1-assuredworkloads.googleapis.com

  • ORGANIZATION_ID: o identificador exclusivo da organização do Google Cloud, por exemplo: 12321311

  • WORKLOAD_LOCATION: o local da carga de trabalho, por exemplo: us-central1

  • WORKLOAD_ID: o identificador exclusivo da carga de trabalho, por exemplo: 00-c25febb1-f3c1-4f19-8965-a25.

Depois de substituir os valores do marcador, sua solicitação será semelhante ao exemplo a seguir:

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

Se for bem-sucedida, a resposta ficará vazia.

Desativar restrição de uso de recursos

Para desativar a restrição de uso de recursos para uma carga de trabalho, execute o comando a seguir. Esse comando remove efetivamente todas as restrições de serviços e recursos na pasta "Assured Workloads":

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

Substitua os seguintes valores de marcador pelos seus próprios valores:

  • TOKEN: o token de autenticação da solicitação. Por exemplo: ya29.a0AfB_byDnQW7A2Vr5...tanw0427

    Se você tiver o SDK Google Cloud instalado no seu ambiente e estiver autenticado, use o comando gcloud auth print-access-token: -H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

  • SERVICE_ENDPOINT: o endpoint de serviço desejado, por exemplo: https://us-central1-assuredworkloads.googleapis.com

  • ORGANIZATION_ID: o identificador exclusivo da organização do Google Cloud, por exemplo: 12321311

  • WORKLOAD_LOCATION: o local da carga de trabalho, por exemplo: us-central1

  • WORKLOAD_ID: o identificador exclusivo da carga de trabalho, por exemplo: 00-c25febb1-f3c1-4f19-8965-a25.

Depois de substituir os valores do marcador, sua solicitação será semelhante ao exemplo a seguir:

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

Se for bem-sucedida, a resposta ficará vazia.

Produtos com e sem suporte

As tabelas nesta seção incluem produtos com e sem suporte para vários pacotes de controle. Se você ativar as restrições padrão de uso de recursos, apenas os produtos compatíveis poderão ser usados. Se você desativar as restrições de uso de recursos, será possível usar os produtos com e sem suporte.

FedRAMP de nível médio

Endpoint Produtos com suporte Produtos não aceitos
aiplatform.googleapis.com Vertex AI Treinamento do AI Platform e API Prediction

FedRAMP de nível alto

Endpoint Produtos com suporte Produtos não aceitos
compute.googleapis.com
Compute Engine
Disco permanente
Treinamento do AI Platform e API Prediction
Cloud CDN
Nuvem privada virtual
Cloud Interconnect
Cloud Load Balancing;
Cloud NAT
Cloud Router
Cloud VPN
Google Cloud Armor
Níveis de serviço de rede

Divisão de Serviços de Informações da Justiça Criminal (CJIS, na sigla em inglês) dos EUA

Endpoint Produtos com suporte Produtos não aceitos
accesscontextmanager.googleapis.com
VPC Service Controls
Access Context Manager
compute.googleapis.com
Nuvem privada virtual
Disco permanente
Compute Engine
Cloud CDN
Cloud Interconnect
Cloud Load Balancing;
Cloud NAT
Cloud Router
Cloud VPN
Google Cloud Armor
Níveis de serviço de rede
cloudkms.googleapis.com
Cloud Key Management Service
Cloud HSM

Nível 4 de impacto (IL4)

Endpoint Produtos com suporte Produtos não aceitos
compute.googleapis.com
Compute Engine
Disco permanente
Treinamento do AI Platform e API Prediction
Cloud CDN
Nuvem privada virtual
Cloud Interconnect
Cloud Load Balancing;
Cloud NAT
Cloud Router
Cloud VPN
Google Cloud Armor
Níveis de serviço de rede
cloudkms.googleapis.com
Cloud Key Management Service
Cloud HSM

Regiões e suporte dos EUA

Endpoint Produtos com suporte Produtos não aceitos
accesscontextmanager.googleapis.com
VPC Service Controls
Access Context Manager
compute.googleapis.com
Nuvem privada virtual
Disco permanente
Compute Engine
Cloud CDN
Cloud Interconnect
Cloud Load Balancing;
Cloud NAT
Cloud Router
Cloud VPN
Google Cloud Armor
Níveis de serviço de rede
cloudkms.googleapis.com
Cloud Key Management Service
Cloud HSM

Endpoints de Serviço

Nesta seção, listamos os endpoints da API que não são bloqueados depois que você ativa a restrição de uso de recursos.

Nome da API URL do endpoint
API Cloud Asset cloudasset.googleapis.com
API Cloud Logging logging.googleapis.com
Service Control servicecontrol.googleapis.com
API Cloud Monitoring monitoring.googleapis.com
Google Cloud Observability stackdriver.googleapis.com
API Security Token Service sts.googleapis.com
API Identity and Access Management iam.googleapis.com
API Cloud Resource Manager cloudresourcemanager.googleapis.com
API Advisory Notifications advisorynotifications.googleapis.com
API IAM Service Account Credentials iamcredentials.googleapis.com
API Organization Policy Service orgpolicy.googleapis.com
API Policy Troubleshooter policytroubleshooter.googleapis.com
API Network Telemetry networktelemetry.googleapis.com
API Service Usage serviceusage.googleapis.com
API Service Networking servicenetworking.googleapis.com
Cloud Billing API cloudbilling.googleapis.com
Service Management API servicemanagement.googleapis.com
API Identity Toolkit identitytoolkit.googleapis.com
API Access Context Manager accesscontextmanager.googleapis.com
API Service Consumer Management serviceconsumermanagement.googleapis.com

A seguir