Aplique a utilização de VMs confidenciais

Para se certificar de que todas as instâncias de VM criadas na sua organização são instâncias de VM confidenciais, pode usar uma restrição de política da organização.

Funções necessárias

Para receber as autorizações de que precisa para gerir políticas de organização, peça ao seu administrador para lhe conceder a função de IAM de administrador de políticas de organização (roles/orgpolicy.policyAdmin) na organização. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Esta função predefinida contém as autorizações necessárias para gerir políticas da organização. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Autorizações necessárias

São necessárias as seguintes autorizações para gerir políticas da organização:

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Ative a restrição

Para ativar a restrição em instâncias de VMs, conclua as seguintes instruções:

Consola

  1. Na Google Cloud consola, aceda à página Políticas da organização:

    Aceda às políticas da organização

  2. Clique na caixa de comutador na parte superior da página e escolha a organização à qual aplicar a restrição. Para aplicar a restrição a um projeto, selecione um projeto.

  3. Na caixa de filtro, introduza restrict non-confidential computing e, de seguida, clique na política Restringir computação não confidencial.

  4. Na página Detalhes da política para Restringir computação não confidencial, clique em Gerir política.

  5. Na secção Aplica-se a, clique em Personalizar.

  6. Na secção Aplicação de políticas, escolha uma das seguintes opções:

    • Unir com o grupo principal. Mesclar a nova definição de política com a de uma organização principal.

    • Substituir. Substituir a definição da política atual e ignorar a da organização principal.

  7. Na secção Regras, clique em Adicionar uma regra.

  8. Na caixa Valores da política, selecione Personalizado e defina o Tipo de política como Recusar.

  9. Na caixa Valores personalizados, introduza compute.googleapis.com como o nome do serviço da API no qual quer aplicar a política.

  10. Clique em Concluído.

  11. Clique em Definir política.

gcloud

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
    --organization=ORGANIZATION_ID

Indique o seguinte valor:

  • ORGANIZATION_ID: o ID da organização à qual adicionar a restrição.

    Como encontrar um Google Cloud ID da organização

    Consola

    Para encontrar um Google Cloud ID da organização, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

      Aceda à Google Cloud consola

    2. Clique na caixa do comutador na barra de menu.
    3. Clique na caixa Selecionar de e, em seguida, selecione a sua organização.
    4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

    CLI gcloud

    Pode obter um Google Cloud ID da organização com o seguinte comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para aplicar a restrição ao nível do projeto em vez do nível da organização, use --project=PROJECT_ID em vez de --organization=ORGANIZATION_ID.

Em alternativa, pode definir políticas com um ficheiro de políticas através de comandos set-policy.

Valide a restrição

Para validar a restrição:

  1. Na Google Cloud consola, aceda à página Instâncias de VM.

    Aceder às instâncias de VM

  2. Clique no seletor de projetos na parte superior da página e escolha um projeto no qual criar uma VM.

  3. Clique em Criar instância.

  4. Na secção Serviço de VM confidencial, verifique se a sua política é aplicada.

Desative a restrição

Para desativar a restrição, siga estas instruções:

Consola

  1. Na Google Cloud consola, aceda à página Políticas da organização:

    Aceda às políticas da organização

  2. Clique na caixa de comutador na parte superior da página e escolha a organização à qual aplicar a restrição. Para aplicar a restrição a um projeto, selecione um projeto.

  3. Na caixa de filtro, introduza restrict non-confidential computing e, de seguida, clique na política Restringir computação não confidencial.

  4. Na página Detalhes da política para Restringir computação não confidencial, clique em Gerir política.

  5. Clique na regra para a expandir.

  6. Na caixa Valores da política, selecione Permitir tudo e, de seguida, clique em Concluído.

  7. Clique em Definir política.

gcloud

gcloud resource-manager org-policies delete \
    constraints/compute.restrictNonConfidentialComputing \
    --organization=ORGANIZATION_ID

Indique o seguinte valor:

  • ORGANIZATION_ID: o ID da organização da qual a restrição vai ser eliminada.

    Como encontrar um Google Cloud ID da organização

    Consola

    Para encontrar um Google Cloud ID da organização, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

      Aceda à Google Cloud consola

    2. Clique na caixa do comutador na barra de menu.
    3. Clique na caixa Selecionar de e, em seguida, selecione a sua organização.
    4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

    CLI gcloud

    Pode obter um Google Cloud ID da organização com o seguinte comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para eliminar a restrição ao nível do projeto em vez de ao nível da organização, use --project=PROJECT_ID em vez de --organization=ORGANIZATION_ID.

Em alternativa, pode definir políticas com um ficheiro de políticas através de comandos set-policy.

O que se segue?

Para saber mais sobre os conceitos principais da política de organização: