Controla el acceso a las imágenes de SO de la VM para Batch

En esta página, se describe cómo configurar la restricción de la política de imágenes de confianza. Esto te permite controlar el acceso a las imágenes del sistema operativo (SO) que se usan para crear los discos de arranque de cualquier Compute Engine de máquina virtual (VM).

De forma predeterminada, un usuario puede usar cualquier imagen pública o personalizada que se le comparta para las VMs de Compute Engine que ejecutan sus trabajos por lotes. Si la restricción de la política de imágenes confiables no está habilitada y no quieres restringir imágenes de SO de la VM, puedes dejar de leer este documento.

Habilita la restricción de la política de imágenes confiables si deseas exigir que todos los usuarios de un proyecto, una carpeta o una organización creen VMs que contengan software aprobado y que cumpla con tus políticas o requisitos de seguridad. Si la restricción de la política de imágenes confiables está habilitada, los usuarios afectados no pueden ejecutar trabajos por lotes, a menos que se permita la imagen del SO de la VM para su trabajo. Para crear y ejecutar trabajos cuando la restricción de política de imágenes confiables está habilitada, realiza al menos una de las siguientes acciones:

  • Pídeles a los usuarios que especifiquen una imagen de SO de la VM. eso ya está permitido.
  • Permite las imágenes de SO de la VM predeterminadas de Batch, como se muestra en este documento.

Para obtener más información sobre las imágenes del SO y los discos de arranque de las VMs, consulta la descripción general del entorno del SO de las VMs. Para obtener información sobre las restricciones de políticas que se habilitaron para tu proyecto, organización o carpeta, consulta las políticas de tu organización.

Antes de comenzar

  1. Si nunca usaste Batch, revisa Comienza a usar Batch y habilitar Batch completando el requisitos previos para los proyectos y usuarios.

  2. Para obtener los permisos que necesitas para configurar las políticas de la organización, pídele a tu administrador que te otorgue el rol de IAM de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Permitir imágenes de Batch

En los siguientes pasos, se describe cómo modificar la restricción de la política de imágenes de confianza para permitir todas las imágenes del SO de la VM de Batch con la consola de Google Cloud o Google Cloud CLI.

Para obtener más instrucciones sobre cómo usar la imagen confiable (compute.trustedImageProjects) restricción de la política, consulta Configura políticas de imágenes confiables en la documentación de Compute Engine.

Console

  1. Ir a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En la lista de políticas, haz clic en Definir proyectos de imágenes confiables.

    Se abrirá la página Detalles de la política.

  3. En la página Detalles de la política, haz clic en Administrar política. Se abrirá la página Editar política.

  4. En la página Editar política, selecciona Personalizar.

  5. En Aplicación de la política, selecciona una opción de aplicación.

  6. Haz clic en Agregar regla.

  7. En la lista Valores de política, puedes seleccionar si quieres agregar una regla que permita el acceso a todos los proyectos de imágenes no especificados, rechace el acceso a todos los proyectos de imágenes no especificados o especifique un conjunto personalizado de proyectos a los que se permita o se rechace el acceso. Para permitir todas las imágenes de Batch, haz lo siguiente:

    1. En la lista Valores de la política, selecciona Personalizado. Aparecerán los campos Tipo de política y Valores personalizados.
    2. En la lista Tipo de política, selecciona Permitir.
    3. En el campo Valores personalizados, ingresa projects/batch-custom-image.

  8. Para guardar la regla, haz clic en Listo.

  9. Para guardar y aplicar la política de la organización, haz clic en Guardar.

gcloud

En el siguiente ejemplo, se describe cómo permitir imágenes de Batch para un proyecto específico:

  1. Para obtener la configuración de políticas existente de un proyecto, ejecuta el comando resource-manager org-policies describe:

    gcloud resource-manager org-policies describe \
   compute.trustedImageProjects --project=PROJECT_ID \
   --effective > policy.yaml

    Reemplaza PROJECT_ID por el ID del proyecto. que quieres actualizar.

  2. Abre el archivo policy.yaml en un editor de texto. Luego, modifica la restricción compute.trustedImageProjects agregando projects/batch-custom-image al campo allowedValues. Por ejemplo, para permitir solo imágenes de SO de VM de Batch Establece la restricción compute.trustedImageProjects de la siguiente manera:

    constraint: constraints/compute.trustedImageProjects
listPolicy:
 allowedValues:
    - projects//batch-custom-image

    Cuando termines de editar el archivo policy.yaml, guarda los cambios.

  3. Para aplicar el archivo policy.yaml a tu proyecto, usa el comando resource-manager org-policies set-policy:

    gcloud resource-manager org-policies set-policy \
   policy.yaml --project=PROJECT_ID

    Reemplaza PROJECT_ID por el ID del proyecto. que quieres actualizar.

Cuando termines de actualizar las restricciones, se recomienda probarlas para verificar que funcionen según lo previsto.

¿Qué sigue?