Controllare l'accesso alle immagini del sistema operativo VM per Batch

Questa pagina descrive come configurare il vincolo criteri per l'utilizzo di immagini attendibili. In questo modo puoi controllare l'accesso alle immagini del sistema operativo (OS) che possono essere utilizzate per creare i dischi di avvio per qualsiasi istanza di macchina virtuale (VM) Compute Engine.

Per impostazione predefinita, un utente può utilizzare qualsiasi immagine pubblica o personalizzata condivisa con lui per le VM Compute Engine che eseguono i suoi job batch. Se la limitazione criteri per l'utilizzo di immagini attendibili non è abilitata e non vuoi limitare le immagini del sistema operativo VM, puoi interrompere la lettura di questo documento.

Attiva il vincolo delle criteri per l'utilizzo di immagini attendibili se vuoi richiedere a tutti gli utenti di un progetto, di una cartella o di un'organizzazione di creare VM contenenti software approvato che soddisfi le tue norme o i tuoi requisiti di sicurezza. Se il vincolo dei criteri per l'utilizzo di immagini attendibili è attivato, gli utenti interessati non possono eseguire job batch a meno che l'immagine del sistema operativo VM per il loro job non sia consentita. Per creare ed eseguire job quando il vincolo dei criteri per l'utilizzo di immagini attendibili è abilitato, esegui almeno una delle seguenti operazioni:

Per scoprire di più sulle immagini del sistema operativo e sui dischi di avvio delle VM, consulta la Panoramica dell'ambiente del sistema operativo VM. Per scoprire quali vincoli delle norme sono stati attivati per il tuo progetto, la tua cartella o la tua organizzazione, visualizza le norme dell'organizzazione.

Prima di iniziare

  1. Se non hai mai utilizzato Batch, consulta la guida introduttiva all'utilizzo di Batch e attivalo completando i prerequisiti per progetti e utenti.

  2. Per ottenere le autorizzazioni necessarie per configurare le norme dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore delle norme dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

    Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Consenti le immagini da Batch

I passaggi che seguono descrivono come modificare il vincolo criteri per l'utilizzo di immagini attendibili per consentire tutte le immagini del sistema operativo VM da Batch utilizzando la consoleGoogle Cloud o Google Cloud CLI.

Per ulteriori istruzioni su come utilizzare il vincolo dei criteri per le immagini attendibili (compute.trustedImageProjects), consulta Configurare i criteri per l'utilizzo di immagini attendibili nella documentazione di Compute Engine.

Console

  1. Vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Nell'elenco dei criteri, fai clic su Definisci progetti di immagini attendibili.

    Viene visualizzata la pagina Dettagli delle norme.

  3. Nella pagina Dettagli norme, fai clic su Gestisci norme. Viene visualizzata la pagina Modifica criterio.

  4. Nella pagina Modifica criterio, seleziona Personalizza.

  5. In Applicazione criteri, seleziona un'opzione di applicazione.

  6. Fai clic su Aggiungi regola.

  7. Nell'elenco Valori criterio, puoi selezionare se aggiungere una regola che consente l'accesso a tutti i progetti di immagini non specificati, nega l'accesso a tutti i progetti di immagini non specificati o specifica un insieme personalizzato di progetti a cui consentire o negare l'accesso. Per consentire tutte le immagini di Batch, segui questi passaggi:

    1. Nell'elenco Valori criterio, seleziona Personalizzato. Vengono visualizzati i campi Tipo di criterio e Valori personalizzati.
    2. Nell'elenco Tipo di criterio, seleziona Consenti.
    3. Nel campo Valori personalizzati, inserisci projects/batch-custom-image.

  8. Per salvare la regola, fai clic su Fine.

  9. Per salvare e applicare il criterio dell'organizzazione, fai clic su Salva.

gcloud

L'esempio seguente descrive come consentire le immagini da Batch per un progetto specifico:

  1. Per ottenere le impostazioni di criteri esistenti per un progetto, esegui il comando resource-manager org-policies describe:

    gcloud resource-manager org-policies describe \
   compute.trustedImageProjects --project=PROJECT_ID \
   --effective > policy.yaml

    Sostituisci PROJECT_ID con l'ID del progetto che vuoi aggiornare.

  2. Apri il file policy.yaml in un editor di testo. Poi, modifica il vincolo compute.trustedImageProjects aggiungendo projects/batch-custom-image al campo allowedValues. Ad esempio, per consentire solo le immagini del sistema operativo VM da Batch, imposta il vincolo compute.trustedImageProjects su quanto segue:

    constraint: constraints/compute.trustedImageProjects
listPolicy:
 allowedValues:
    - projects//batch-custom-image

    Al termine della modifica del file policy.yaml, salva le modifiche.

  3. Per applicare il file policy.yaml al progetto, utilizza il comando resource-manager org-policies set-policy:

    gcloud resource-manager org-policies set-policy \
   policy.yaml --project=PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto che vuoi aggiornare.

Al termine dell'aggiornamento dei vincoli, ti consigliamo di testarli per verificare che funzionino come previsto.

Passaggi successivi