Aplica el uso de Confidential VM

Para asegurarte de que todas las VMs creadas en tu organización sean instancias de Confidential VM, puedes usar una restricción de políticas de la organización.

Roles obligatorios

Para obtener los permisos que necesitas para administrar las políticas de la organización, pídele a tu administrador que te otorgue el rol de IAM de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene los permisos necesarios para administrar las políticas de la organización. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para administrar las políticas de la organización:

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Habilita la restricción

Para habilitar la restricción en las instancias de VM, completa las siguientes instrucciones:

Console

  1. En la consola de Google Cloud, ve a la página Políticas de la organización:

    Ir a Políticas de la organización

  2. Haz clic en el cuadro del selector en la parte superior de la página y elige la organización a la que deseas aplicar la restricción. Para aplicar la restricción a un proyecto, selecciona un proyecto en su lugar.

  3. En el cuadro de filtro, ingresa restrict non-confidential computing y, luego, haz clic en la política Restringir el procesamiento no confidencial.

  4. En la página Detalles de la política para Restringir el procesamiento no confidencial, haz clic en Administrar política.

  5. En la sección Se aplica a, haz clic en Personalizar.

  6. En la sección Aplicación de la política, elige una de las siguientes opciones:

    • Combinar con elemento superior Combina la configuración de tu política nueva con la de una organización superior.

    • Reemplazar. Reemplaza la configuración de políticas actual y omite la de la organización superior.

  7. En la sección Rules, haz clic en Add a rule.

  8. En el cuadro Valores de la política, selecciona Personalizado y establece Tipo de política en Denegar.

  9. En el cuadro Valores personalizados, ingresa compute.googleapis.com como el nombre del servicio de API en el que deseas aplicar la política.

  10. Haz clic en Listo.

  11. Haz clic en Establecer política.

gcloud

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
    --organization=ORGANIZATION_ID

Ingresa el siguiente valor:

  • ORGANIZATION_ID: Es el ID de la organización a la que se agregará la restricción.

    Cómo encontrar un Google Cloud ID de organización

    Console

    Para encontrar el ID de una Google Cloud organización, completa los siguientes pasos:

    1. Ve a la consola de Google Cloud.

      Ve a la consola de Google Cloud

    2. Haz clic en el cuadro del selector en la barra de menú.
    3. Haz clic en el cuadro Seleccionar desde y, luego, selecciona tu organización.
    4. Haz clic en la pestaña Todos. El ID de la organización se muestra junto al nombre de la organización.

    gcloud CLI

    Puedes recuperar un ID de Google Cloud organización con el siguiente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para aplicar la restricción a nivel del proyecto en lugar del nivel de la organización, usa --project=PROJECT_ID en lugar de --organization=ORGANIZATION_ID.

Como alternativa, puedes establecer políticas con un archivo de políticas mediante los comandos set-policy.

Verifica la restricción

Para verificar la restricción, haz lo siguiente:

  1. En la consola de Google Cloud, ve a la página Instancias de VM.

    Ir a Instancias de VM

  2. Haz clic en el selector de proyectos en la parte superior de la página y elige un proyecto en el que crear una VM.

  3. Haz clic en Crear instancia.

  4. En la sección Servicio de Confidential VM, verifica que se aplique la política.

Inhabilita la restricción

Para inhabilitar la restricción, sigue estas instrucciones:

Console

  1. En la consola de Google Cloud, ve a la página Políticas de la organización:

    Ir a Políticas de la organización

  2. Haz clic en el cuadro del selector en la parte superior de la página y elige la organización a la que deseas aplicar la restricción. Para aplicar la restricción a un proyecto, selecciona un proyecto en su lugar.

  3. En el cuadro de filtro, ingresa restrict non-confidential computing y, luego, haz clic en la política Restringir el procesamiento no confidencial.

  4. En la página Detalles de la política para Restringir el procesamiento no confidencial, haz clic en Administrar política.

  5. Haz clic en la regla para expandirla.

  6. En el cuadro Valores de la política, selecciona Permitir todo y, luego, haz clic en Listo.

  7. Haz clic en Establecer política.

gcloud

gcloud resource-manager org-policies delete \
    constraints/compute.restrictNonConfidentialComputing \
    --organization=ORGANIZATION_ID

Ingresa el siguiente valor:

  • ORGANIZATION_ID: Es el ID de la organización de la que se borrará la restricción.

    Cómo encontrar un Google Cloud ID de organización

    Console

    Para encontrar el ID de una Google Cloud organización, completa los siguientes pasos:

    1. Ve a la consola de Google Cloud.

      Ve a la consola de Google Cloud

    2. Haz clic en el cuadro del selector en la barra de menú.
    3. Haz clic en el cuadro Seleccionar desde y, luego, selecciona tu organización.
    4. Haz clic en la pestaña Todos. El ID de la organización se muestra junto al nombre de la organización.

    gcloud CLI

    Puedes recuperar un ID de Google Cloud organización con el siguiente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Para borrar la restricción a nivel del proyecto en lugar del nivel de la organización, usa --project=PROJECT_ID en lugar de --organization=ORGANIZATION_ID.

Como alternativa, puedes establecer políticas con un archivo de políticas mediante los comandos set-policy.

¿Qué sigue?

Para obtener más información sobre los conceptos centrales de la política de la organización, haz lo siguiente: