Applicazione dei vincoli dei criteri dell'organizzazione

Abilitando il seguente vincolo di criteri dell'organizzazione di Confidential Computing, puoi assicurarti che tutte le risorse VM create nella tua organizzazione siano istanze di Confidential VM.

Prima di iniziare

Per modificare i vincoli dei criteri dell'organizzazione, devi avere un ruolo con le autorizzazioni appropriate. Per impostare o modificare i criteri dell'organizzazione, devi avere almeno il ruolo di amministratore Criteri dell'organizzazione.

Abilita il vincolo

Per abilitare il vincolo sulle istanze VM, procedi nel seguente modo:

Console

1. Nella console Google Cloud, fai clic sul menu del selettore dei progetti nella parte superiore della pagina. Nel selettore dei progetti, scegli l'organizzazione a cui applicare il vincolo.

2. Apri Criteri organizzazione: fai clic sul menu di navigazione , seleziona IAM e amministrazione, quindi fai clic su Criteri organizzazione.

   Apri i criteri dell'organizzazione

3. Seleziona Limita il computing non riservato nell'elenco dei criteri dell'organizzazione. Probabilmente troverai più facile filtrare prima l'elenco in base al nome del criterio.

4. Nella pagina Dettagli criteri di Limita computer non riservato, fai clic su Modifica .

   Nota: se Modifica non è disponibile, non disponi dell'autorizzazione per impostare il criterio dell'organizzazione. Per maggiori informazioni, consulta la sezione Prima di iniziare qui sopra.

   

5. In Si applica a, scegli Personalizza.

6. In Applicazione criterio, scegli se unire la nuova impostazione dei criteri a quella di un'organizzazione principale (Unisci con principale) o se sostituire l'impostazione del criterio attuale e ignorare quella dell'organizzazione principale (Sostituisci).

7. Quindi, in Valori criterio, scegli Personalizzato e in Tipo di criterio scegli Rifiuta. Questa scelta garantisce che tutte le nuove istanze VM create in questa organizzazione saranno istanze Confidential VM.

8. Nel campo in Valori personalizzati, aggiungi i nomi dei servizi API supportati a cui vuoi applicare il criterio. L'elenco dei servizi supportati è fornito nella descrizione del criterio. Ad esempio, per applicare questo criterio alla creazione di nuove istanze di macchine virtuali, digita compute.googleapis.com. Per inserire più di un servizio API, fai clic su Nuovo valore criterio.

9. Se vuoi, puoi inserire una nota per il suggerimento per questo criterio nella console Google Cloud facendo clic su Imposta consiglio. Al termine, fai clic su Salva.

Se hai eseguito questa operazione correttamente, la schermata Dettagli criterio per Limita il computing non riservato ha il seguente screenshot. Osserva il nome dell'API del servizio in Negato.

gcloud

Utilizza il comando gcloud seguente e sostituisci il segnaposto PROJECT_ID con l'identificatore del progetto:

gcloud resource-manager org-policies deny \
  constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
  --project=PROJECT_ID

Se rifiuti il criterio dell'organizzazione "Limita il traffico non riservato", hai specificato che tutte le nuove istanze VM saranno istanze di VM riservate.

Disabilita il vincolo

Per disattivare il vincolo:

Console

1. Nella console Google Cloud, fai clic sul menu del selettore dei progetti nella parte superiore della pagina. Nel selettore dei progetti, scegli l'organizzazione a cui è stato applicato il vincolo.

2. Apri Criteri organizzazione: fai clic sul menu di navigazione , seleziona IAM e amministrazione, quindi fai clic su Criteri organizzazione.

   Apri i criteri dell'organizzazione

3. Seleziona Limita il computing non riservato nell'elenco dei criteri dell'organizzazione. Probabilmente troverai più facile filtrare prima l'elenco in base al nome del criterio.

4. Nella pagina Dettagli criteri di Limita computer non riservato, fai clic su Modifica .

   Nota: se Modifica non è disponibile, non disponi dell'autorizzazione per impostare il criterio dell'organizzazione. Per maggiori informazioni, consulta la sezione Prima di iniziare qui sopra.

5. In Valori criterio, scegli Consenti tutto, quindi fai clic su Salva.

gcloud

Utilizza il seguente comando gcloud. L'esecuzione di questo comando riporta il criterio allo stato predefinito del progetto. Sostituisci il segnaposto PROJECT_ID con l'identificatore del progetto:

gcloud resource-manager org-policies delete \
  constraints/compute.restrictNonConfidentialComputing \
  --project=PROJECT_ID

Se consenti il criterio dell'organizzazione"Limita il traffico non riservato", hai riattivato la capacità della tua organizzazione di creare istanze VM che non siano istanze VM riservate.

Creare un file di criteri

In alternativa, puoi creare un file dei criteri utilizzando i comandi set-policy.

Passaggi successivi

Per scoprire di più sui concetti fondamentali relativi ai criteri dell'organizzazione:

• Leggi la panoramica dei criteri dell'organizzazione.
• Scopri che cosa sono i vincoli.
• Consulta i vincoli dei criteri dell'organizzazione disponibili.
• Scopri come utilizzare i vincoli per creare criteri dell'organizzazione.