Esta página foi traduzida pela API Cloud Translation.

Use políticas da organização personalizadas

Esta página mostra como usar restrições personalizadas do serviço de políticas da organização para restringir operações específicas nos seguintes Google Cloud recursos:

binaryauthorization.googleapis.com/Policy
binaryauthorization.googleapis.com/Attestor

Para saber mais sobre a política de organização, consulte o artigo Políticas de organização personalizadas.

Acerca das políticas e restrições da organização

O Google Cloud serviço de políticas da organização dá-lhe um controlo centralizado e programático sobre os recursos da sua organização. Enquanto administrador de políticas da organização, pode definir uma política da organização, que é um conjunto de restrições denominadas restrições que se aplicam aGoogle Cloud recursos e descendentes desses recursos na Google Cloud hierarquia de recursos. Pode aplicar políticas de organização ao nível da organização, da pasta ou do projeto.

A política da organização oferece restrições geridas incorporadas para vários serviços Google Cloud . No entanto, se quiser um controlo mais detalhado e personalizável sobre os campos específicos que estão restritos nas políticas da sua organização, também pode criar restrições personalizadas e usar essas restrições personalizadas numa política da organização.

Herança de políticas

Por predefinição, as políticas da organização são herdadas pelos descendentes dos recursos nos quais aplica a política. Por exemplo, se aplicar uma política a uma pasta, Google Cloud aplica a política a todos os projetos na pasta. Para saber mais acerca deste comportamento e como o alterar, consulte as regras de avaliação da hierarquia.

Vantagens

Use políticas da organização personalizadas para fazer o seguinte com as políticas de autorização binária:

Aplique requisitos de segurança exigindo a autorização do utilizador para a implementação de imagens do sistema.
Certifique-se de que a atestação é necessária para todas as implementações de pods na política de autorização binária.
Certifique-se de que os atestadores específicos estão incluídos na política de autorização binária usada para a validação da atestação.
Restrinja as operações permitidas a um padrão de lista de autorizações definido na política de autorização binária.

Use políticas da organização personalizadas para fazer o seguinte com atestações de autorização binária:

Certifique-se de que os atestadores são criados com metadados descritivos para definir claramente a respetiva finalidade.
Certifique-se de que a chave criptográfica associada a cada atestador é gerada através de um algoritmo de assinatura específico e predeterminado.

Antes de começar

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Se estiver a usar um fornecedor de identidade (IdP) externo, tem primeiro de iniciar sessão na CLI gcloud com a sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Se estiver a usar um fornecedor de identidade (IdP) externo, tem primeiro de iniciar sessão na CLI gcloud com a sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

Certifique-se de que sabe o seu ID da organização.

Funções necessárias

Para receber as autorizações de que precisa para gerir políticas de organização, peça ao seu administrador que lhe conceda as seguintes funções do IAM:

Administrador da política da organização (roles/orgpolicy.policyAdmin) no recurso da organização
Para atualizar uma política: Funções da política de autorização binária (roles/binaryauthorization.policyEditor) no projeto
Para criar e atualizar um atestador: Funções de atestador da autorização binária (roles/binaryauthorization.attestorsAdmin) no projeto

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para gerir as políticas da organização. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Autorizações necessárias

São necessárias as seguintes autorizações para gerir políticas da organização:

orgpolicy.* no recurso da organização
Para atualizar uma política de Autorização binária:
- binaryauthorization.policy.update no recurso do projeto
- binaryauthorization.policy.get no recurso do projeto
Para criar ou atualizar um atestador de autorização binária:
- binaryauthorization.attestors.get no recurso do projeto
- binaryauthorization.attestors.list no recurso do projeto
- binaryauthorization.attestors.create no recurso do projeto
- binaryauthorization.attestors.update no recurso do projeto

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Crie uma restrição personalizada

Uma restrição personalizada é definida num ficheiro YAML pelos recursos, métodos, condições e ações suportados pelo serviço no qual está a aplicar a política da organização. As condições para as restrições personalizadas são definidas através do Idioma de expressão comum (IEC). Para mais informações sobre como criar condições em restrições personalizadas através da CEL, consulte a secção CEL do artigo Criar e gerir restrições personalizadas.

Para criar uma restrição personalizada, crie um ficheiro YAML com o seguinte formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Substitua o seguinte:

ORGANIZATION_ID: o ID da sua organização, como 123456789.
CONSTRAINT_NAME: o nome que quer para a nova restrição personalizada. Uma restrição personalizada tem de começar com custom. e só pode incluir letras maiúsculas, letras minúsculas ou números. Por exemplo, custom.ensureBinaryAuthorizationEnforcementEnabled. O comprimento máximo deste campo é de 70 carateres.
RESOURCE_NAME: o nome totalmente qualificado do recurso que contém o objeto e o campo que quer restringir.Google Cloud Por exemplo, binaryauthorization.googleapis.com/Policy.
CONDITION: uma condição CEL escrita em função de uma representação de um recurso de serviço suportado. Este campo tem um comprimento máximo de 1000 carateres. Consulte o artigo Recursos suportados para mais informações sobre os recursos disponíveis para escrever condições. Por exemplo, "resource.defaultAdmissionRule.enforcementMode == 'ENFORCED_BLOCK_AND_AUDIT_LOG'".
ACTION: a ação a tomar se a condição condition for cumprida. Os valores possíveis são ALLOW e DENY.
DISPLAY_NAME: um nome simples para a restrição. Este campo tem um comprimento máximo de 200 carateres.
DESCRIPTION: uma descrição acessível da restrição a apresentar como uma mensagem de erro quando a política é violada. Este campo tem um comprimento máximo de 2000 carateres.

Para mais informações sobre como criar uma restrição personalizada, consulte o artigo Definir restrições personalizadas.

Configure uma restrição personalizada

gcloud org-policies set-custom-constraint

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

CONSTRAINT_PATH

/home/user/customconstraint.yaml

gcloud org-policies list-custom-constraints

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

ORGANIZATION_ID

Ver políticas da organização

Aplique uma política da organização personalizada

Consola

Na Google Cloud consola, aceda à página Políticas de organização.
Aceda às políticas da organização
No seletor de projetos, selecione o projeto para o qual quer definir a política de organização.
Na lista da página Políticas da organização, selecione a restrição para ver a página Detalhes da política dessa restrição.
Para configurar a política da organização para este recurso, clique em Gerir política.
Na página Editar política, selecione Substituir política do elemento principal.
Clique em Adicionar regra.
Na secção Aplicação, selecione se a aplicação desta política organizacional está ativada ou desativada.
Opcional: para tornar a política de organização condicional a uma etiqueta, clique em Adicionar condição. Tenha em atenção que, se adicionar uma regra condicional a uma política da organização, tem de adicionar, pelo menos, uma regra incondicional. Caso contrário, não é possível guardar a política. Para mais informações, consulte o artigo Definir uma política de organização com etiquetas.
Clique em Testar alterações para simular o efeito da política da organização. A simulação de políticas não está disponível para restrições geridas antigas. Para mais informações, consulte o artigo Teste as alterações à política da organização com o simulador de políticas.
Para concluir e aplicar a política da organização, clique em Definir política. A política demora até 15 minutos a entrar em vigor.

gcloud

Para criar uma política da organização com regras booleanas, crie um ficheiro YAML de política que faça referência à restrição:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Substitua o seguinte:

PROJECT_ID: o projeto no qual quer aplicar a restrição.
CONSTRAINT_NAME: o nome que definiu para a restrição personalizada. Por exemplo, custom.ensureBinaryAuthorizationEnforcementEnabled.

Para aplicar a política da organização que contém a restrição, execute o seguinte comando:

    gcloud org-policies set-policy POLICY_PATH

Substitua POLICY_PATH pelo caminho completo para o ficheiro YAML da política da organização. A política demora até 15 minutos a entrar em vigor.

Teste a política da organização personalizada

O exemplo seguinte mostra como criar uma restrição personalizada e uma política que garante a aplicação da política de autorização binária num projeto, impedindo implementações quando faltam atestações.

Antes de começar, certifique-se do seguinte:

Ative a API Binary Authorization uma vez por projeto.
Conheça o ID da sua organização.
Conheça o ID do seu projeto.

Crie a restrição

Guarde o seguinte ficheiro como constraint.yaml:

name: organizations/ORGANIZATION_ID/customConstraints/custom.ensureBinaryAuthorizationEnforcementEnabled
resourceTypes:
- binaryauthorization.googleapis.com/Policy
methodTypes:
- CREATE
- UPDATE
condition: "resource.defaultAdmissionRule.enforcementMode == 'ENFORCED_BLOCK_AND_AUDIT_LOG'"
actionType: ALLOW
displayName: Ensure Binary Authorization Enforcement is enabled
description: Binary Authorization policy must have enforcement enabled to block deployments if one or more required attestations are missing.

Esta restrição impede as atualizações da política de autorização binária, a menos que o elemento defaultAdmissionRule.enforcementMode esteja definido como ENFORCED_BLOCK_AND_AUDIT_LOG.

Aplique a restrição:

gcloud org-policies set-custom-constraint ~/constraint.yaml

Verifique se a restrição existe:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

O resultado é semelhante ao seguinte:

CUSTOM_CONSTRAINT: custom.ensureBinaryAuthorizationEnforcementEnabled
ACTION_TYPE: DENY
METHOD_TYPES: CREATE,UPDATE
RESOURCE_TYPES: binaryauthorization.googleapis.com/Policy
DISPLAY_NAME: Ensure Binary Authorization Enforcement is enabled

Crie a política

Guarde o seguinte ficheiro como policy.yaml:

name: projects/PROJECT_ID/policies/custom.ensureBinaryAuthorizationEnforcementEnabled
spec:
  rules:
  - enforce: true

Substitua PROJECT_ID pelo ID do seu projeto.

Aplique a política:

gcloud org-policies set-policy ~/policy.yaml

Verifique se a política existe:

gcloud org-policies list --project=PROJECT_ID

O resultado é semelhante ao seguinte:

CONSTRAINT: custom.ensureBinaryAuthorizationEnforcementEnabled
LIST_POLICY: -
BOOLEAN_POLICY: SET
ETAG: CJSetr4GEPil1JAB-

Depois de aplicar a política, aguarde cerca de dois minutos para que Google Cloud comece a aplicar a política.

Teste a política

cat > binauthzPolicy.yaml << EOM
globalPolicyEvaluationMode: DISABLE
defaultAdmissionRule:
  evaluationMode: ALWAYS_DENY
  enforcementMode: DRYRUN_AUDIT_LOG_ONLY
EOM

gcloud container binauthz policy import binauthzPolicy.yaml '--format=json'

O resultado é o seguinte:

Operation denied by org policy: ["customConstraints/custom.ensureBinaryAuthorizationEnforcementEnabled": "Pod deployment should be blocked when admission rule are not satisfied."].

Exemplos de políticas da organização personalizadas para exemplos de utilização comuns

Esta tabela fornece exemplos de sintaxe para algumas restrições personalizadas comuns.

Descrição	Sintaxe de restrição
Certifique-se de que as atestações estão presentes na política de autorização binária	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.podCreationRequireAttestations resourceTypes: - binaryauthorization.googleapis.com/Policy methodTypes: - CREATE - UPDATE condition: "resource.defaultAdmissionRule.evaluationMode == 'REQUIRE_ATTESTATION'" actionType: ALLOW displayName: Attestations are required in Binary Authorization Policy description: Binary Authorization Policy evaluation requires attestations.
Certifique-se de que um atestador específico está presente para a regra de admissão	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.policyWithParticularAttestor resourceTypes: - binaryauthorization.googleapis.com/Policy methodTypes: - CREATE - UPDATE condition: "resource.defaultAdmissionRule.requireAttestationsBy.size() > 0 && resource.defaultAdmissionRule.requireAttestationsBy.exists(value, value.matches(r'^projects/[^/]+/attestors/qa-attestor$'))" actionType: ALLOW displayName: Ensure Binary Authorization policy contains qa-attestor. description: Ensure Binary Authorization policy contains qa-attestor.
Não permitir a criação do atestador se a descrição estiver em falta	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.enforceAttestorDescription resourceTypes: - binaryauthorization.googleapis.com/Attestor methodTypes: - CREATE - UPDATE condition: "resource.description == ''" actionType: DENY displayName: Deny Attestor creation that have no description. description: Binary Authorization Attestor should have description associated with it.
Permita apenas um algoritmo de assinatura específico para uma chave	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.allowParticularKeySignatureAlgorithm resourceTypes: - binaryauthorization.googleapis.com/Attestor methodTypes: - CREATE - UPDATE condition: "resource.userOwnedGrafeasNote.publicKeys.all(publicKey, publicKey.pkixPublicKey.signatureAlgorithm == 'ECDSA_P256_SHA256')" actionType: ALLOW displayName: Allow particular signature algorithm description: Only particular signature Algorithm is allowed.

Recursos suportados pela Autorização binária

Recurso	Campo
binaryauthorization.googleapis.com/Attestor	`resource.description`
	`resource.name`
	`resource.userOwnedGrafeasNote.noteReference`
	`resource.userOwnedGrafeasNote.publicKeys.asciiArmoredPgpPublicKey`
	`resource.userOwnedGrafeasNote.publicKeys.comment`
	`resource.userOwnedGrafeasNote.publicKeys.pkixPublicKey.keyId`
	`resource.userOwnedGrafeasNote.publicKeys.pkixPublicKey.publicKeyPem`
	`resource.userOwnedGrafeasNote.publicKeys.pkixPublicKey.signatureAlgorithm`
binaryauthorization.googleapis.com/Policy	`resource.admissionWhitelistPatterns.namePattern`
	`resource.clusterAdmissionRules[*].enforcementMode`
	`resource.clusterAdmissionRules[*].evaluationMode`
	`resource.clusterAdmissionRules[*].requireAttestationsBy`
	`resource.defaultAdmissionRule.enforcementMode`
	`resource.defaultAdmissionRule.evaluationMode`
	`resource.defaultAdmissionRule.requireAttestationsBy`
	`resource.description`
	`resource.globalPolicyEvaluationMode`
	`resource.istioServiceIdentityAdmissionRules[*].enforcementMode`
	`resource.istioServiceIdentityAdmissionRules[*].evaluationMode`
	`resource.istioServiceIdentityAdmissionRules[*].requireAttestationsBy`
	`resource.kubernetesNamespaceAdmissionRules[*].enforcementMode`
	`resource.kubernetesNamespaceAdmissionRules[*].evaluationMode`
	`resource.kubernetesNamespaceAdmissionRules[*].requireAttestationsBy`
	`resource.kubernetesServiceAccountAdmissionRules[*].enforcementMode`
	`resource.kubernetesServiceAccountAdmissionRules[*].evaluationMode`
	`resource.kubernetesServiceAccountAdmissionRules[*].requireAttestationsBy`

O que se segue?

Saiba mais sobre o serviço de políticas da organização.
Saiba como criar e gerir políticas de organização.
Veja a lista completa de restrições de políticas da organização geridas.

Use políticas da organização personalizadas Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Acerca das políticas e restrições da organização

Herança de políticas

Vantagens

Antes de começar

Funções necessárias

Autorizações necessárias

Crie uma restrição personalizada

Configure uma restrição personalizada

Aplique uma política da organização personalizada

Consola

gcloud

Teste a política da organização personalizada

Crie a restrição

Crie a política

Teste a política

Exemplos de políticas da organização personalizadas para exemplos de utilização comuns

Recursos suportados pela Autorização binária

O que se segue?

Use políticas da organização personalizadas