Administrar la restricción de la virtualización anidada

En este documento, se describe cómo verificar si la virtualización anidada está habilitada y cómo modificar la restricción booleana que controla si la virtualización anidada está habilitada para tu organización, proyecto o carpeta.

Una restricción booleana dentro de una política de la organización determina si puedes crear VM anidadas. La restricción booleana de la virtualización anidada es una restricción, lo que significa que cuando se aplica, se le indica a la política de la organización que restrinja la creación de VM anidadas. Para obtener más información sobre las restricciones booleanas, consulta Información sobre las restricciones.

La restricción Inhabilitar la virtualización anidada de VM no se aplica de forma predeterminada, por lo que no tienes que modificar ninguna restricción booleana para habilitar la virtualización anidada. Aún así, Google recomienda configurar de manera explícita el valor de la restricción para que tu organización, carpetas y proyectos no dependan de la configuración predeterminada. Si tu proyecto no está subordinado a una organización, la restricción no se aplica de forma predeterminada y no puedes cambiarla.

Antes de comenzar

  • Configura la autenticación si aún no lo hiciste. La autenticación es el proceso mediante el cual se verifica tu identidad para acceder a los servicios y las API de Google Cloud. Para ejecutar un código o muestras desde un entorno de desarrollo local, puedes autenticarte en Compute Engine de la siguiente manera.

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. Instala Google Cloud CLI y, luego, inicializa la ejecución del siguiente comando: 

      gcloud init
    2. Set a default region and zone.

      3. REST

      Para usar las muestras de la API de REST en esta página en un entorno de desarrollo local, debes usar las credenciales que proporcionas a la CLI de gcloud.

        Instala Google Cloud CLI y, luego, inicializa la ejecución del siguiente comando: 

        gcloud init

      Si deseas obtener más información, consulta Autentica para usar REST en la documentación de autenticación de Google Cloud.

Comprueba si se permite la virtualización anidada

Verifica si la virtualización anidada está permitida para una organización, una carpeta o un proyecto mediante la consola de Google Cloud, Google Cloud CLI o REST.

Consola

Comprueba si puedes crear VM anidadas en tu organización, carpeta o proyecto. Para ello, verifica si no se aplica la restricción booleana a fin de inhabilitar la virtualización anidada. Si la política de la organización no aplica la restricción Inhabilitar la virtualización anidada de VM, puedes crear VM anidadas.

  1. En la consola de Google Cloud, ve a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En el selector de organizaciones, proyectos y carpetas, selecciona la entidad con la que deseas ver las políticas de la organización.

  3. Selecciona la restricción Inhabilitar la virtualización anidada de VM para abrir la página Detalles de la política.

  4. Visualiza el valor de Aplicación:

    • Si el valor es No aplicado, la virtualización anidada estará habilitada y podrás crear VM anidadas.

    • Si el valor es Aplicada, la virtualización anidada está inhabilitada y no puedes crear VM anidadas.

gcloud

Verifica el valor de la restricción booleana compute.disableNestedVirtualization mediante el comando gcloud resource-manager org-policies describe.

Si el resultado de la Google Cloud CLI no muestra un valor para booleanPolicy, se permite la virtualización anidada y puedes crear VM anidadas.

Si el valor de salida de Google Cloud CLI para booleanPolicy es enforced: true, la política de la organización aplica la restricción de inhabilitación de la virtualización anidada y no puedes crear VM anidadas.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Reemplaza exactamente uno de los siguientes elementos:

  • ORGANIZATION_ID: Es el ID de la organización a la que se debe obtener el valor de restricción. Para obtener una lista de las organizaciones accesibles y sus ID, ejecuta el comando gcloud organizations list.

  • FOLDER_ID: Es el ID de la carpeta de la que se obtiene el valor de la restricción. Para obtener una lista de las carpetas accesibles y sus ID, ejecuta el comando gcloud resource-manager folders list.

  • PROJECT_ID: Es el ID del proyecto del que se obtiene el valor de restricción. Para obtener una lista de proyectos accesibles y sus ID, ejecuta el comando gcloud projects list.

REST

Usa REST para verificar el valor de la restricción booleana compute.disableNestedVirtualization, que determina si puedes crear VMs anidadas en tu organización, carpeta o proyecto.

Si la respuesta de REST no muestra un valor de "booleanPolicy" para la restricción, la virtualización anidada no está inhabilitada y puedes crear VMs anidadas.

Si el valor de "booleanPolicy" en el resultado es "enforced": true, la virtualización anidada estará inhabilitada y no podrás crear VM anidadas.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Reemplaza lo siguiente:

Modifica la política de la organización de virtualización anidada

Si tienes la función apropiada, puedes controlar si una organización, carpeta o proyecto puede crear VM anidadas. Controla esta aplicación mediante el uso de la restricción booleana para la virtualización anidada.

Usa la consola de Google Cloud, Google Cloud CLI o REST a fin de habilitar la virtualización anidada para una organización, una carpeta o un proyecto.

Consola

Para habilitar la virtualización anidada, inhabilita la aplicación de la restricción booleana Inhabilitar la virtualización anidada de VM. Si deseas inhabilitar la virtualización anidada, habilita la aplicación de la restricción booleana.

  1. En la consola de Google Cloud, ve a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En el selector de organizaciones, proyectos y carpetas, selecciona la entidad para la que deseas editar las políticas de la organización.

  3. Selecciona la restricción Inhabilitar la virtualización anidada de VM para abrir la página Detalles de la política.

  4. Haz clic en Editar y, luego, selecciona Personalizar.

  5. En Aplicación, selecciona una de las siguientes opciones de aplicación para la restricción booleana Inhabilitar la virtualización anidada de VM:

    • Activado: Habilita la aplicación y, luego, inhabilita la virtualización anidada.
    • Desactivado: Inhabilita la aplicación y habilita la virtualización anidada

  6. Haz clic en Guardar.

gcloud

Usa el comando gcloud resource-manager org-policies para habilitar o inhabilitar la aplicación de la restricción booleana de la política de la organización compute.disableNestedVirtualization.

Si inhabilitas la restricción compute.disableNestedVirtualization mediante el comando disable-enforce, puedes crear las VM que tengan habilitada la virtualización anidada.

Si habilitas la restricción mediante el comando enable-enforce, no podrás crear las VM que tengan habilitada la virtualización anidada.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Reemplaza exactamente uno de los siguientes elementos:

  • ORGANIZATION_ID: Es el ID de la organización en la que se modifica el valor de restricción. Para obtener una lista de las organizaciones accesibles y sus ID, ejecuta el comando gcloud organizations list.

  • FOLDER_ID: Es el ID de la carpeta de la que deseas modificar el valor de la restricción. Para obtener una lista de las carpetas accesibles y sus ID, ejecuta el comando gcloud resource-manager folders list.

  • PROJECT_ID: Es el ID del proyecto del que se modificará el valor de restricción. Para obtener una lista de proyectos accesibles y sus ID, ejecuta el comando gcloud projects list.

REST

Usa REST para modificar el valor de la restricción booleana compute.disableNestedVirtualization, que determina si puedes crear VMs anidadas en tu organización, carpeta o proyecto.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Reemplaza lo siguiente:

  • RESOURCE: Es el recurso al que se modificará la política de la organización. Establécela en uno de los siguientes valores:

  • RESOURCE_ID: Es la organización, carpeta o proyecto en el que se verifica el estado de la restricción de virtualización anidada.

  • ENFORCE: Determina si la política de la organización aplica la restricción booleana compute.disableNestedVirtualization. Establécela en uno de los siguientes valores:

    • true: a fin de aplicar la restricción Con esta configuración, no podrás crear VM que tengan habilitada la virtualización anidada.

    • false: a fin de no aplicar la restricción Con esta configuración, puedes crear VM que tengan habilitada la virtualización anidada.

¿Qué sigue?