Mengontrol akses ke image OS VM untuk Batch

Halaman ini menjelaskan cara mengonfigurasi batasan kebijakan image tepercaya. Hal ini memungkinkan Anda mengontrol akses ke image sistem operasi (OS) yang dapat digunakan untuk membuat disk booting untuk instance virtual machine (VM) Compute Engine.

Secara default, pengguna dapat menggunakan image publik atau image kustom apa pun yang dibagikan kepada mereka untuk VM Compute Engine yang menjalankan tugas Batch. Jika batasan kebijakan image tepercaya tidak diaktifkan dan Anda tidak ingin membatasi image OS VM, Anda dapat berhenti membaca dokumen ini.

Aktifkan batasan kebijakan image tepercaya jika Anda ingin mewajibkan semua pengguna dalam project, folder, atau organisasi untuk membuat VM yang berisi software yang disetujui dan memenuhi kebijakan atau persyaratan keamanan Anda. Jika batasan kebijakan image tepercaya diaktifkan, pengguna yang terpengaruh tidak dapat menjalankan tugas Batch kecuali jika image OS VM untuk tugas mereka diizinkan. Untuk membuat dan menjalankan tugas saat batasan kebijakan image tepercaya diaktifkan, lakukan setidaknya salah satu hal berikut:

  • Minta pengguna untuk menentukan OS image VM yang sudah diizinkan.
  • Izinkan image OS VM default dari Batch, seperti yang ditunjukkan dalam dokumen ini.

Untuk mempelajari image OS VM dan disk booting lebih lanjut, lihat Ringkasan lingkungan OS VM. Untuk mempelajari batasan kebijakan yang telah diaktifkan untuk project, folder, atau organisasi Anda, lihat kebijakan organisasi Anda.

Sebelum memulai

  1. Jika belum pernah menggunakan Batch, baca Mulai menggunakan Batch dan aktifkan Batch dengan menyelesaikan prasyarat untuk project dan pengguna.

  2. Untuk mendapatkan izin yang diperlukan guna mengonfigurasi kebijakan organisasi, minta administrator untuk memberi Anda peran IAM Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

    Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Mengizinkan gambar dari Batch

Langkah-langkah berikut menjelaskan cara mengubah batasan kebijakan image tepercaya untuk mengizinkan semua image OS VM dari Batch menggunakan konsol Google Cloud atau Google Cloud CLI.

Untuk mengetahui petunjuk selengkapnya tentang cara menggunakan batasan kebijakan image tepercaya (compute.trustedImageProjects), lihat Menyiapkan kebijakan image tepercaya di dokumentasi Compute Engine.

Konsol

  1. Buka halaman Kebijakan organisasi.

    Buka Organization policies

  2. Dari daftar kebijakan, klik Tentukan project image tepercaya.

    Halaman Detail kebijakan akan terbuka.

  3. Di halaman Detail kebijakan, klik Kelola Kebijakan. Halaman Edit kebijakan akan terbuka.

  4. Di halaman Edit policy, pilih Customize.

  5. Untuk Penerapan kebijakan, pilih opsi penerapan.

  6. Klik Tambahkan Aturan.

  7. Dalam daftar Nilai kebijakan, Anda dapat memilih apakah akan menambahkan aturan yang mengizinkan akses ke semua project image yang tidak ditentukan, menolak akses ke semua project image yang tidak ditentukan, atau menentukan kumpulan project kustom untuk mengizinkan atau menolak akses. Untuk mengizinkan semua gambar dari Batch, lakukan hal berikut:

    1. Dalam daftar Policy values, pilih Custom. Kolom Jenis kebijakan dan Nilai kustom akan muncul.
    2. Dalam daftar Jenis kebijakan, pilih Izinkan.
    3. Di kolom Custom values, masukkan projects/batch-custom-image.

  8. Untuk menyimpan aturan, klik Selesai.

  9. Untuk menyimpan dan menerapkan kebijakan organisasi, klik Save.

gcloud

Contoh berikut menjelaskan cara mengizinkan gambar dari Batch untuk project tertentu:

  1. Untuk mendapatkan setelan kebijakan yang ada untuk project, jalankan perintah resource-manager org-policies describe:

    gcloud resource-manager org-policies describe \
   compute.trustedImageProjects --project=PROJECT_ID \
   --effective > policy.yaml

    Ganti PROJECT_ID dengan project ID project yang ingin Anda perbarui.

  2. Buka file policy.yaml di editor teks. Kemudian, ubah batasan compute.trustedImageProjects dengan menambahkan projects/batch-custom-image ke kolom allowedValues. Misalnya, untuk hanya mengizinkan image OS VM dari Batch, tetapkan batasan compute.trustedImageProjects ke hal berikut:

    constraint: constraints/compute.trustedImageProjects
listPolicy:
 allowedValues:
    - projects//batch-custom-image

    Setelah selesai mengedit file policy.yaml, simpan perubahan.

  3. Untuk menerapkan file policy.yaml ke project Anda, gunakan perintah resource-manager org-policies set-policy:

    gcloud resource-manager org-policies set-policy \
   policy.yaml --project=PROJECT_ID

    Ganti PROJECT_ID dengan project ID project yang ingin Anda perbarui.

Setelah Anda selesai memperbarui batasan, sebaiknya uji batasan tersebut untuk memverifikasi bahwa batasan tersebut berfungsi sebagaimana mestinya.

Langkah selanjutnya