Utilizza criteri dell'organizzazione personalizzati
Questa pagina mostra come utilizzare i vincoli personalizzati del servizio Criteri dell'organizzazione per limitare operazioni specifiche sulle seguenti risorse Google Cloud:
bigquerydatatransfer.googleapis.com/TransferConfig
Per saperne di più sui criteri dell'organizzazione, vedi Criteri dell'organizzazione personalizzati.
Informazioni su criteri e vincoli dell'organizzazione
Il servizio Criteri dell'organizzazione di Google Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. Come amministratore dei criteri dell'organizzazione, puoi definire un'organizzazione , ovvero un insieme di restrizioni denominate vincoli che si applicano le risorse Google Cloud e i discendenti di queste risorse nel Gerarchia delle risorse di Google Cloud. Puoi applicare in modo forzato le regole a livello di organizzazione, cartella o progetto.
I criteri dell'organizzazione forniscono vincoli predefiniti per diversi servizi Google Cloud. Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nei criteri dell'organizzazione, puoi anche creare vincoli personalizzati e utilizzarli in un criterio dell'organizzazione.
Eredità dei criteri
Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti dei e le risorse a cui applichi il criterio. Ad esempio, se applichi un criterio su una cartella, Google Cloud applica i criteri a tutti i progetti . Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.
Vantaggi
Puoi utilizzare un criterio dell'organizzazione personalizzato per consentire o negare operazioni specifiche sulle configurazioni di trasferimento di BigQuery Data Transfer Service per soddisfare i requisiti di conformità e sicurezza della tua organizzazione. Se una richiesta di creazione o aggiornamento di una configurazione di trasferimento non soddisfa i vincoli personalizzati impostati dalle norme della tua organizzazione, la richiesta non va a buon fine e viene restituito un errore al chiamante.
Prima di iniziare
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Assicurati di conoscere ID organizzazione.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti seguenti ruoli IAM:
-
Amministratore criteri dell'organizzazione (
roles/orgpolicy.policyAdmin
) nella risorsa dell'organizzazione -
Crea o aggiorna una configurazione di trasferimento di BigQuery Data Transfer Service:
Amministratore BigQuery (
roles/bigquery.admin
) nella risorsa del progetto
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.
Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire i criteri dell'organizzazione. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per gestire i criteri dell'organizzazione sono necessarie le seguenti autorizzazioni:
-
orgpolicy.constraints.list
-
orgpolicy.policies.create
-
orgpolicy.policies.delete
-
orgpolicy.policies.list
-
orgpolicy.policies.update
-
orgpolicy.policy.get
-
orgpolicy.policy.set
-
orgpolicy.customConstraints.create
-
orgpolicy.customConstraints.delete
-
orgpolicy.customConstraints.get
-
orgpolicy.customConstraints.list
-
orgpolicy.customConstraints.patch
-
Crea o aggiorna una configurazione di trasferimento di BigQuery Data Transfer Service:
-
bigquery.transfers.get
-
bigquery.transfers.update
-
Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati altri ruoli predefiniti.
Crea un vincolo personalizzato
Un vincolo personalizzato viene definito in un file YAML dalle risorse, dai metodi le condizioni e le azioni supportate dal servizio per applicare il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati definiti utilizzando CEL (Common Expression Language). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione Creazione e gestione di vincoli personalizzati.
Per creare una limitazione personalizzata, crea un file YAML utilizzando il seguente formato:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempiocustom.dtsEnableEmailNotification
. La lunghezza massima di questo campo è di 70 caratteri.RESOURCE_NAME
: il nome completo del Risorsa Google Cloud contenente l'oggetto e il campo da limitare. Ad esempio,bigquerydatatransfer.googleapis.com/TransferConfig
.CONDITION
: una condizione CEL scritta in base a di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Consulta Risorse supportate per ulteriori informazioni sugli e risorse disponibili per scrivere le condizioni. Ad esempio,resource.emailPreferences.enableFailureEmail == true
.ACTION
: l'azione da intraprendere se viene soddisfatto il criteriocondition
. I valori possibili sonoALLOW
eDENY
.DISPLAY_NAME
: un nome semplice per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.
Per saperne di più su come creare un vincolo personalizzato, consulta Definire vincoli personalizzati.
Configurare un vincolo personalizzato
Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione nella tua organizzazione. Per impostare un vincolo personalizzato, utilizza il comandogcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
con il percorso completo del
file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml
.
Al termine, i vincoli personalizzati saranno disponibili come criteri dell'organizzazione
nel tuo elenco di criteri dell'organizzazione
di Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
con l'ID della risorsa dell'organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.
Applica un criterio dell'organizzazione personalizzato
Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicare il criterio dell'organizzazione a una risorsa Google Cloud.Console
- Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
- Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
- Nell'elenco della pagina Criteri dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli dei criteri relativa al vincolo in questione.
- Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
- Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
- Fai clic su Aggiungi una regola.
- Nella sezione Applicazione, seleziona se l'applicazione di questo criterio dell'organizzazione è attivata o disattivata.
- (Facoltativo) Per rendere condizionale il criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un criterio dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti il criterio non può essere salvato. Per maggiori informazioni le informazioni, vedi Impostazione di un criterio dell'organizzazione con i tag.
- Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
- Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.
gcloud
Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Sostituisci quanto segue:
-
PROJECT_ID
: il progetto su cui vuoi applicare in modo forzato i tuoi di blocco. -
CONSTRAINT_NAME
: il nome definito per il vincolo personalizzato. Ad esempio,custom.dtsEnableEmailNotification
.
Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando:
gcloud org-policies set-policy POLICY_PATH
Sostituisci POLICY_PATH
con il percorso completo del file YAML del criterio dell'organizzazione. L'applicazione del criterio può richiedere fino a 15 minuti.
Testa il criterio dell'organizzazione personalizzato
L'esempio seguente crea un vincolo e un criterio personalizzati che richiedono l'attivazione delle notifiche via email per tutte le nuove configurazioni di trasferimento in un progetto specifico.
Prima di iniziare, tieni presente quanto segue:
- Il tuo ID organizzazione
- Un ID progetto
Crea il vincolo
Salva il seguente file come
constraint-dts-enable-email.yaml
:name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsEnableEmailNotification resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE condition: resource.emailPreferences.enableFailureEmail == true actionType: ALLOW displayName: The BigQuery Data Transfer Service always enables email notications description: The BigQuery Data Transfer Service always enables email notications on data transfer failures.
Sostituisci
ORGANIZATION_ID
con ID organizzazione.Questo campo definisce un vincolo che controlla se le notifiche via email vengono per una nuova configurazione di trasferimento. Se non sono attivati, l'operazione viene rifiutata.
Applica il vincolo:
gcloud org-policies set-custom-constraint ~/constraint-dts-enable-email.yaml
Verifica che il vincolo esista:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
L'output è simile al seguente:
CUSTOM_CONSTRAINT ACTION_TYPE METHOD_TYPES RESOURCE_TYPES DISPLAY_NAME custom.dtsEnableEmailNotification ALLOW CREATE bigquerydatatransfer.googleapis.com/TransferConfig The BigQuery Data Transfer Service always enables email notications ...
Crea il criterio
Salva il file seguente come
policy-dts-enable-email.yaml
:name: projects/PROJECT_ID/policies/custom.dtsEnableEmailNotification spec: rules: - enforce: true
Sostituisci
PROJECT_ID
con l'ID progetto.Applica il criterio:
gcloud org-policies set-policy ~/policy-dts-enable-email.yaml
Verifica che il criterio esista:
gcloud org-policies list --project=PROJECT_ID
L'output è simile al seguente:
CONSTRAINT LIST_POLICY BOOLEAN_POLICY ETAG custom.dtsEnableEmailNotification - SET CPyxlbgGENDL3tEC-
Dopo aver applicato il criterio, attendi circa due minuti affinché Google Cloud inizi a applicarlo.
Testa il criterio
Nel progetto, prova a creare una configurazione di trasferimento di BigQuery Data Transfer Service con la notifica via email disattivata.
L'output è il seguente:
Operation denied by custom org policy: ["customConstraints/custom.dtsEnableEmailNotification": "The BigQuery Data Transfer Service always enables email notications on data transfer failures."].
Esempi di criteri dell'organizzazione personalizzati per i casi d'uso comuni
La tabella seguente fornisce la sintassi di alcuni vincoli personalizzati per i casi d'uso comuni:
Descrizione | Sintassi del vincolo |
---|---|
Non consentire i trasferimenti di dati da Azure Blob Storage |
name: organizations/ORGANIZATION_ID/customConstraints/custom.denyDtsAzureTransfers resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE condition: resource.dataSourceId == "azure_blob_storage" actionType: DENY displayName: Deny data transfers from Azure Blob Storage to BigQuery description: Disallow creating data transfer configurations from Azure Blob Storage. |
Attiva sempre la pianificazione automatica |
name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsNoManualSchedule resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE - UPDATE condition: resource.scheduleOptions.disableAutoScheduling == false actionType: ALLOW displayName: Transfer configurations always enable auto-scheduling description: Always enable auto-scheduling for BigQuery Data Transfer Service transfer configurations. |
I trasferimenti di Google Ads devono avere una finestra di aggiornamento dei dati di più di tre giorni |
name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsGoogleAdsConstraint resourceTypes: - bigquerydatatransfer.googleapis.com/TransferConfig methodTypes: - CREATE - UPDATE condition: resource.dataSourceId == "google_ads" && resource.dataRefreshWindowDays < 3 actionType: DENY displayName: Google Ads transfers data refresh window must be greater than three days description: Disallow creating Google Ads data transfer configurations whose data refresh window is less than three days. |
Risorse e operazioni supportate da BigQuery Data Transfer Service
La seguente tabella elenca le risorse di BigQuery Data Transfer Service a cui puoi fare riferimento nei vincoli personalizzati.Risorsa | Campo |
---|---|
bigquerydatatransfer.googleapis.com/TransferConfig |
resource.dataRefreshWindowDays
|
resource.dataSourceId
| |
resource.destinationDatasetId
| |
resource.disabled
| |
resource.displayName
| |
resource.emailPreferences.enableFailureEmail
| |
resource.encryptionConfiguration.kmsKeyName
| |
resource.name
| |
resource.notificationPubsubTopic
| |
resource.schedule
| |
resource.scheduleOptions.disableAutoScheduling
| |
resource.scheduleOptions.endTime
| |
resource.scheduleOptions.startTime
| |
resource.scheduleOptionsV2.eventDrivenSchedule.pubsubSubscription
| |
resource.scheduleOptionsV2.timeBasedSchedule.endTime
| |
resource.scheduleOptionsV2.timeBasedSchedule.schedule
| |
resource.scheduleOptionsV2.timeBasedSchedule.startTime
|
Passaggi successivi
- Scopri di più sul Servizio Criteri dell'organizzazione.
- Scopri di più su come creare e gestire i criteri dell'organizzazione.
- Consulta l'elenco completo vincoli dei criteri dell'organizzazione.