Utilizza criteri dell'organizzazione personalizzati

Questa pagina mostra come utilizzare i vincoli personalizzati del servizio Criteri dell'organizzazione per limitare operazioni specifiche sulle seguenti risorse Google Cloud:

• bigquerydatatransfer.googleapis.com/TransferConfig

Per saperne di più sui criteri dell'organizzazione, vedi Criteri dell'organizzazione personalizzati.

Informazioni su criteri e vincoli dell'organizzazione

Il servizio Criteri dell'organizzazione di Google Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. Come amministratore dei criteri dell'organizzazione, puoi definire un'organizzazione , ovvero un insieme di restrizioni denominate vincoli che si applicano le risorse Google Cloud e i discendenti di queste risorse nel Gerarchia delle risorse di Google Cloud. Puoi applicare in modo forzato le regole a livello di organizzazione, cartella o progetto.

I criteri dell'organizzazione forniscono vincoli predefiniti per diversi servizi Google Cloud. Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nei criteri dell'organizzazione, puoi anche creare vincoli personalizzati e utilizzarli in un criterio dell'organizzazione.

Eredità dei criteri

Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti dei e le risorse a cui applichi il criterio. Ad esempio, se applichi un criterio su una cartella, Google Cloud applica i criteri a tutti i progetti . Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Vantaggi

Puoi utilizzare un criterio dell'organizzazione personalizzato per consentire o negare operazioni specifiche sulle configurazioni di trasferimento di BigQuery Data Transfer Service per soddisfare i requisiti di conformità e sicurezza della tua organizzazione. Se una richiesta di creazione o aggiornamento di una configurazione di trasferimento non soddisfa i vincoli personalizzati impostati dalle norme della tua organizzazione, la richiesta non va a buon fine e viene restituito un errore al chiamante.

Prima di iniziare

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

10. Assicurati di conoscere ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti seguenti ruoli IAM:

• Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) nella risorsa dell'organizzazione
• Crea o aggiorna una configurazione di trasferimento di BigQuery Data Transfer Service: Amministratore BigQuery (roles/bigquery.admin) nella risorsa del progetto

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire i criteri dell'organizzazione. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire i criteri dell'organizzazione sono necessarie le seguenti autorizzazioni:

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set
• orgpolicy.customConstraints.create
• orgpolicy.customConstraints.delete
• orgpolicy.customConstraints.get
• orgpolicy.customConstraints.list
• orgpolicy.customConstraints.patch
• Crea o aggiorna una configurazione di trasferimento di BigQuery Data Transfer Service:
  • bigquery.transfers.get
  • bigquery.transfers.update

Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati altri ruoli predefiniti.

Crea un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML dalle risorse, dai metodi le condizioni e le azioni supportate dal servizio per applicare il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati definiti utilizzando CEL (Common Expression Language). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione Creazione e gestione di vincoli personalizzati.

Per creare una limitazione personalizzata, crea un file YAML utilizzando il seguente formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.dtsEnableEmailNotification. La lunghezza massima di questo campo è di 70 caratteri.

• RESOURCE_NAME: il nome completo del Risorsa Google Cloud contenente l'oggetto e il campo da limitare. Ad esempio, bigquerydatatransfer.googleapis.com/TransferConfig.

• CONDITION: una condizione CEL scritta in base a di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Consulta Risorse supportate per ulteriori informazioni sugli e risorse disponibili per scrivere le condizioni. Ad esempio, resource.emailPreferences.enableFailureEmail == true.

• ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. I valori possibili sono ALLOW e DENY.

• DISPLAY_NAME: un nome semplice per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Definire vincoli personalizzati.

Configurare un vincolo personalizzato

Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione nella tua organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Sostituisci CONSTRAINT_PATH con il percorso completo del file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati saranno disponibili come criteri dell'organizzazione nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, vedi Visualizzazione dei criteri dell'organizzazione.

Applica un criterio dell'organizzazione personalizzato

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicare il criterio dell'organizzazione a una risorsa Google Cloud.

Console

1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

   Vai a Criteri dell'organizzazione

2. Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
3. Nell'elenco della pagina Criteri dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli dei criteri relativa al vincolo in questione.
4. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
5. Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
6. Fai clic su Aggiungi una regola.
7. Nella sezione Applicazione, seleziona se l'applicazione di questo criterio dell'organizzazione è attivata o disattivata.
8. (Facoltativo) Per rendere condizionale il criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un criterio dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti il criterio non può essere salvato. Per maggiori informazioni le informazioni, vedi Impostazione di un criterio dell'organizzazione con i tag.
9. Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
10. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true
    

Sostituisci quanto segue:

• PROJECT_ID: il progetto su cui vuoi applicare in modo forzato i tuoi di blocco.
• CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio, custom.dtsEnableEmailNotification.

Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando:

    gcloud org-policies set-policy POLICY_PATH
    

Sostituisci POLICY_PATH con il percorso completo del file YAML del criterio dell'organizzazione. L'applicazione del criterio può richiedere fino a 15 minuti.

Testa il criterio dell'organizzazione personalizzato

L'esempio seguente crea un vincolo e un criterio personalizzati che richiedono l'attivazione delle notifiche via email per tutte le nuove configurazioni di trasferimento in un progetto specifico.

Prima di iniziare, tieni presente quanto segue:

• Il tuo ID organizzazione
• Un ID progetto

Crea il vincolo

1. Salva il seguente file come constraint-dts-enable-email.yaml:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsEnableEmailNotification
   resourceTypes:
   - bigquerydatatransfer.googleapis.com/TransferConfig
   methodTypes:
   - CREATE
   condition: resource.emailPreferences.enableFailureEmail == true
   actionType: ALLOW
   displayName: The BigQuery Data Transfer Service always enables email notications
   description: The BigQuery Data Transfer Service always enables email notications on data transfer failures.
   

   Sostituisci ORGANIZATION_ID con ID organizzazione.

   Questo campo definisce un vincolo che controlla se le notifiche via email vengono per una nuova configurazione di trasferimento. Se non sono attivati, l'operazione viene rifiutata.

2. Applica il vincolo:

   gcloud org-policies set-custom-constraint ~/constraint-dts-enable-email.yaml
   

3. Verifica che il vincolo esista:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   L'output è simile al seguente:

   CUSTOM_CONSTRAINT                  ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                                      DISPLAY_NAME
   custom.dtsEnableEmailNotification  ALLOW        CREATE         bigquerydatatransfer.googleapis.com/TransferConfig  The BigQuery Data Transfer Service always enables email notications
   ...
   

Crea il criterio

1. Salva il file seguente come policy-dts-enable-email.yaml:

   name: projects/PROJECT_ID/policies/custom.dtsEnableEmailNotification
   spec:
     rules:
     - enforce: true
   

   Sostituisci PROJECT_ID con l'ID progetto.

2. Applica il criterio:

   gcloud org-policies set-policy ~/policy-dts-enable-email.yaml
   

3. Verifica che il criterio esista:

   gcloud org-policies list --project=PROJECT_ID
   

   L'output è simile al seguente:

   CONSTRAINT                         LIST_POLICY  BOOLEAN_POLICY        ETAG
   custom.dtsEnableEmailNotification  -            SET                   CPyxlbgGENDL3tEC-
   

Dopo aver applicato il criterio, attendi circa due minuti affinché Google Cloud inizi a applicarlo.

Testa il criterio

Nel progetto, prova a creare una configurazione di trasferimento di BigQuery Data Transfer Service con la notifica via email disattivata.

L'output è il seguente:

Operation denied by custom org policy: ["customConstraints/custom.dtsEnableEmailNotification": "The BigQuery Data Transfer Service always enables email notications on data transfer failures."].

Esempi di criteri dell'organizzazione personalizzati per i casi d'uso comuni

La tabella seguente fornisce la sintassi di alcuni vincoli personalizzati per i casi d'uso comuni:

Descrizione	Sintassi del vincolo
Non consentire i trasferimenti di dati da Azure Blob Storage	name: organizations/ORGANIZATION_ID/customConstraints/custom.denyDtsAzureTransfers resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE condition: resource.dataSourceId == "azure_blob_storage" actionType: DENY displayName: Deny data transfers from Azure Blob Storage to BigQuery description: Disallow creating data transfer configurations from Azure Blob Storage.
Attiva sempre la pianificazione automatica	name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsNoManualSchedule resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE - UPDATE condition: resource.scheduleOptions.disableAutoScheduling == false actionType: ALLOW displayName: Transfer configurations always enable auto-scheduling description: Always enable auto-scheduling for BigQuery Data Transfer Service transfer configurations.
I trasferimenti di Google Ads devono avere una finestra di aggiornamento dei dati di più di tre giorni	name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsGoogleAdsConstraint resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE - UPDATE condition: resource.dataSourceId == "google_ads" && resource.dataRefreshWindowDays < 3 actionType: DENY displayName: Google Ads transfers data refresh window must be greater than three days description: Disallow creating Google Ads data transfer configurations whose data refresh window is less than three days.

Risorse e operazioni supportate da BigQuery Data Transfer Service

La seguente tabella elenca le risorse di BigQuery Data Transfer Service a cui puoi fare riferimento nei vincoli personalizzati.

Risorsa	Campo
bigquerydatatransfer.googleapis.com/TransferConfig	resource.dataRefreshWindowDays
	resource.dataSourceId
	resource.destinationDatasetId
	resource.disabled
	resource.displayName
	resource.emailPreferences.enableFailureEmail
	resource.encryptionConfiguration.kmsKeyName
	resource.name
	resource.notificationPubsubTopic
	resource.schedule
	resource.scheduleOptions.disableAutoScheduling
	resource.scheduleOptions.endTime
	resource.scheduleOptions.startTime
	resource.scheduleOptionsV2.eventDrivenSchedule.pubsubSubscription
	resource.scheduleOptionsV2.timeBasedSchedule.endTime
	resource.scheduleOptionsV2.timeBasedSchedule.schedule
	resource.scheduleOptionsV2.timeBasedSchedule.startTime

Passaggi successivi

• Scopri di più sul Servizio Criteri dell'organizzazione.
• Scopri di più su come creare e gestire i criteri dell'organizzazione.
• Consulta l'elenco completo vincoli dei criteri dell'organizzazione.