ポリシーを使用してデプロイ動作を制限する

このドキュメントでは、デプロイポリシーを使用して、手動または自動化されたデリバリーパイプラインアクションを制限する方法について説明します。

デプロイポリシーは、選択したデリバリーパイプラインまたはターゲット（またはすべてのパイプラインまたはターゲット）に対する手動または自動のアクションを制限するために使用できる Cloud Deploy リソースです。

制限できる動作

デプロイポリシーを作成して、Cloud Deploy がロールアウトに対して特定のアクションを実行できないように制限できます。たとえば、ポリシーを使用して、特定のデリバリーパイプラインのロールアウトの作成を特定の期間にブロックできます。たとえば、季節限定の制限に使用できます。

ポリシーの評価と適用方法

手動または自動のアクションに対して、Cloud Deploy は次の処理を行います。

Identity and Access Management の権限を確認します。

ユーザーまたはサービスアカウントに適切な IAM 権限がない場合は、アクションは実行されず、デプロイポリシーを評価する必要はありません。
ターゲットまたはデリバリーパイプラインに適用可能なポリシーがあるかどうかを確認し、ある場合はポリシーを評価します。
- Cloud Deploy は、実行されるアクションを評価して、このルールが適用可能かどうかを確認します。
  
  つまり、アクションタイプと呼び出し元がポリシーと一致しているかどうかを確認します。
- Cloud Deploy は、ポリシーに定義された日時範囲を確認し、リクエスト時にそのポリシーが有効かどうかを確認します。
- ポリシーが有効で、ルールがデリバリーパイプラインまたはターゲットとアクションに適用される場合、そのルールが適用され、アクションがブロックされます。

要件と制限事項

各ポリシーには少なくとも 1 つのセレクタが必要です。
各ポリシーには少なくとも 1 つのルールが必要です。

すべてのルール ID は、デプロイポリシー内でユニークである必要があります。
各ルールには少なくとも 1 つの timeWindows が必要です。その timeWindows 内に oneTimeWindows または weeklyWindows のいずれかが必要です。

時間ブロックの使用方法について詳しくは、日付と時刻をご覧ください。
プロジェクトまたはロケーションごとに作成できるデプロイポリシーは 1,000 個までです。

必要な Identity and Access Management のロールと権限

Cloud Deploy デリバリーパイプラインを実行するために必要な権限、ポリシーによって制限されるタスクを実行するために必要な権限に加えて、ポリシーリソースに対する特定のオペレーションを実行するためには次のようないくつかの権限が必要です。

clouddeploy.deployPolicies.create
clouddeploy.deployPolicies.delete
clouddeploy.deployPolicies.get
clouddeploy.deployPolicies.list
clouddeploy.deployPolicies.update
clouddeploy.deployPolicies.override

これらの権限は、roles/clouddeploy.policyAdmin ロールに含まれています。また、roles/clouddeploy.policyOverrider ロールには .override 権限も含まれています。

デプロイポリシーの作成

デプロイポリシーリソースの作成手順は次のとおりです。

デプロイポリシーの構成を含む YAML ファイルを作成します。

構成には、リソースをデプロイポリシーとして識別するヘッダーが含まれています。必ず name を付ける必要があります。
```
 apiVersion: deploy.cloud.google.com/v1
 kind: DeployPolicy
 metadata:
   name: 
 description: 
```
ポリシーが適用されるデリバリーパイプラインとターゲット（selectors）への参照を追加します。

ポリシーセレクタとその構成方法の詳細については、ポリシーセレクタをデプロイすると構成スキーマリファレンスをご覧ください。
ポリシー rules を 1 つ以上追加します。

各ルールは、制限と、その制限が適用される状況を記述します。ポリシールールとその構成方法の詳細については、ポリシールールをデプロイすると構成スキーマリファレンスをご覧ください。
そのファイルを適用し、gcloud deploy apply --filename= を使用してリソースを作成します。

参照されているデリバリーパイプラインまたはターゲットは、デプロイポリシーリソースのルールに従って制限されます。

デプロイポリシーセレクタ

デプロイポリシーの構成で定義されるセレクタは、特定のルールの影響を受けるデリバリーパイプラインとターゲットを決定します。

セレクタは、デプロイポリシーの構成の selectors スタンザで、トップレベルプロパティとして定義されます。

selectors:
- deliveryPipeline:
    id:
    labels:
  target:
    id:
    labels:

この YAML 構成では、deliveryPipeline.id はデリバリーパイプラインの名前を、target.id はターゲットの名前を取得します（どちらの場合も metadata.name）。

id: * を使用すると、すべてのデリバリーパイプラインまたはすべてのターゲットを選択できます。ラベルを使用して、デリバリーパイプライン、ターゲット、またはその両方を照合することもできます。

特定のセレクタ内では、アイテムは AND 演算で結合されます。複数のセレクタは OR 演算で結合されます。つまり、特定のリクエストをポリシーで制限するには、少なくとも 1 つのセレクタに適用する必要があります。ただし、そのセレクタ内では、リクエストがすべてのアイテムに一致している必要があります。

ポリシールールをデプロイする

各デプロイポリシーには、1 つ以上のポリシールールが含まれます。これらのルールは、選択したデリバリーパイプラインまたはターゲットで制限されるアクションを定義します。また、ルールが適用される状況も定義します。

使用可能なルールは次のとおりです。

rolloutRestriction

rolloutRestriction ルールは、選択したデリバリーパイプラインで使用される選択したターゲットで、指定されたロールアウトアクションが実行されないようにします。このルールでは、選択したデリバリーパイプラインとターゲットに対してロールアウトを作成できない時間枠を定義する時間枠を使用します。デプロイポリシールールで日時を指定する方法については、日時をご覧ください。

ルールが有効になっている間は、次の操作が制限される場合があります。

ADVANCE

ロールアウトフェーズを進めることはできません。
APPROVE

ロールアウトプロモーションは承認できません。
CANCEL

ロールアウトはキャンセルできません。
CREATE

ロールアウトを作成できません。ポリシーによってこのアクションがブロックされている場合は、リリースを作成できますが、そのリリースはロールアウトを開始しません。
IGNORE_JOB

ジョブを無視することはできません。
RETRY_JOB

ジョブを再試行することはできません。
ROLLBACK

ロールアウトをロールバックすることはできません。
TERMINATE_JOBRUN

ジョブ実行を終了できません

このルールの YAML 構造については、構成スキーマのリファレンスをご覧ください。

`rolloutRestriction` ルールの日時

日付と時刻のブロックを構成して、デプロイポリシーが有効な繰り返し時間枠と繰り返し時間枠を指定します。

日時を表現する際の要件は次のとおりです。

日付は yyyy-mm-dd で表されます。
時刻を表現する場合、日の始まりは 00:00、日の終わりは 24:00 です。
oneTimeWindows の場合、日付には時刻を含める必要があります。weeklyWindows では、時刻を省略できます。ただし、startTime を含める場合は endTime も含める必要があります。その逆も同様です。

たとえば、日曜日のみ凍結する場合は次のようになります。
```
- daysOfWeek: [SUNDAY]
  startTime: "00:00"
  endTime: "24:00"
```
次のようにすることもできます。
```
- daysOfWeek: [SUNDAY]
```
次のような場合は対象外です。
```
- daysOfWeek: [SUNDAY]
  startTime: "00:00"
```
timeWindows スタンザにタイムゾーンを含める必要があります。

例: timeZone: America/New_York。

繰り返しなしの時間枠

繰り返しのない時間枠は、特定の日時で開始および終了します。これは、ロールアウトを制限する時間ブロックに使用します。

繰り返しのない時間枠は、oneTimeWindows スタンザを使用して構成します。

繰り返しの時間枠

繰り返しの時間枠は、ロールアウトを制限する繰り返しの時間ブロックを表します。たとえば、週末のロールアウトを制限できます。

繰り返しの時間枠は、weeklyWindows スタンザを使用して構成します。

例

このセクションでは、日時を使用してデプロイポリシーが適用されるタイミングを構成する例を示します。

年次凍結

ロールアウトを一時停止する期間がある場合は、oneTimeWindows ブロックを構成して一時停止できます。日付が年ごとに予測できる場合でも、複数の oneTimeWindow ブロックを使用する必要があります。

次の YAML は、年次フリーズのデプロイポリシーを適用する 1 回限り（繰り返しなし）の時間枠を示しています。

timeWindows:
  timeZone: "America/New_York"
  oneTimeWindows:
  - start: "2024-12-22 17:00"
    end: "2025-01-02 09:00"

この YAML は、2024 年 12 月 22 日午後 5 時から 2025 年 1 月 2 日午前 9 時までの時間枠を記述しています。

週末フリーズの繰り返し

次の YAML は、週末のロールアウトを制限するデプロイポリシーを適用する繰り返しの時間枠を示しています。金曜日の午後 5 時から月曜日の午前 9 時までです。

timeWindows:
  timeZone: "America/New_York"
  weeklyWindows:
  - daysOfWeek: [FRIDAY]
    startTime: "17:00"
    endTime: "24:00"
  - daysOfWeek: [SATURDAY, SUNDAY]
    startTime: "00:00"
    endTime: "24:00"
  - daysOfWeek: [MONDAY]
    startTime: "00:00"
    endTime: "09:00"

デプロイポリシーを更新する

デプロイポリシーの更新は、次の手順で構成されます。

ポリシー構成の YAML を編集します。

Google Cloud コンソールを使用してポリシーを作成した場合は、[デプロイポリシーの詳細] ページで [YAML] タブを選択して YAML 構成を取得できます。その後、そのテキストをローカルのファイルにコピーして編集できます。
gcloud deploy apply --filename= を使用してそのファイルを適用します。

これにより、デプロイポリシーリソースが新しい構成で更新されます。

制限付きアクションの試行時にデプロイポリシーが評価されるため、すべての Cloud Deploy リソースに対するこのようなアクションはすべて、更新されたポリシーの対象となります。つまり、以前の制限はすべて解除されています。たとえば、12 月全体に restrictRollouts ブロックがあり、12 月 14 日にポリシーを更新して制限を 12 月 15 日に終了した場合、12 月 15 日以降はロールアウトがブロックされなくなります。

デプロイポリシーをオーバーライドする

必要に応じて、デプロイポリシーをオーバーライドできます。たとえば、本番環境のデプロイに問題があり、ロールバックする必要があるものの、ロールアウトを妨げるデプロイポリシーがある場合は、そのポリシーをオーバーライドして、不適切なロールアウトをロールバックできます。

デプロイポリシーをオーバーライドするには、clouddeploy.deployPolicies.override IAM 権限が必要です。

ポリシーは、gcloud CLI または Google Cloud コンソールを使用してオーバーライドできます。

Console

Google Cloud コンソールで、ポリシーによってブロックされているアクションを試みます。

デプロイポリシーによってアクションがブロックされていることを示すダイアログが表示されます。このダイアログには、このアクションをブロックしている特定のポリシーへのリンクが含まれています。
テキストフィールドにポリシーの名前を入力し、[ポリシーのオーバーライドを試みる] をクリックします。

ポリシーをオーバーライドする権限がある場合、Cloud Deploy はアクションを実行します。

gcloud CLI

gcloud CLI を使用してデプロイポリシーをオーバーライドするには、そのポリシーによってブロックされるアクションのコマンドに --override-deploy-policies を追加します。たとえば、次のコマンドはリリースをプロモートさせ、プロモーションを妨げる特定のデプロイポリシーをオーバーライドします。

 gcloud deploy releases promote --release=my-release-001 \
   --project=my-policy-testing-project \
   --region=us-central1 \
   --delivery-pipeline=my-pipeline \
   --to-target=prod-target \
   --override-deploy-policies=my-deploy-policy

デプロイポリシーを削除する

デプロイポリシーを削除するには:

Console

Google Cloud コンソールで、Cloud Deploy の [デプロイポリシー] ページに移動します。

[デプロイポリシー] ページを開く

このページには、現在のプロジェクトで使用可能なデプロイポリシーのリスト（存在する場合）が表示されます。
削除するポリシーの [アクション] ボタンを選択し、[デプロイポリシーを削除] をクリックします。
デプロイポリシー名を入力して削除を確定してから、[確認] をクリックします。

ポリシーが削除されたので、ポリシーで制限されていたアクションを実行できるようになりました。

gcloud CLI

gcloud CLI を使用してデプロイポリシーを削除するには、次のコマンドを実行します。

 gcloud deploy deploy-policies delete \
    --project=[PROJECT] \
    --region=[REGION] \
    [POLICY_NAME]

以下を置き換えます。

[POLICY_NAME]

ポリシー構成ファイルで定義されているポリシーの名前。
[PROJECT]

デプロイポリシーを作成した Google Cloud プロジェクトのプロジェクト ID。
[REGION]

デプロイポリシーを作成したリージョン。

デプロイポリシーリソースを削除すると、影響を受けるデリバリーパイプラインとターゲットはポリシーの対象外になり、別のデプロイポリシーの影響を受けない限り制限されなくなります。

デプロイポリシーのロギング

デプロイポリシーが評価されると、次のアクションに対してプラットフォームログエントリが作成されます。

ポリシー評価

プラットフォームログは、リクエストが評価され、ポリシーに違反している場合に書き込まれます。リクエストによってポリシーに違反しているものの、ポリシーが停止されているかオーバーライドされているためにリクエストが許可された場合も、ログが書き込まれます。ポリシーに違反していないため、リクエストが承認されたときにログは書き込まれません。
デプロイポリシーリソースの変更時に Pub/Sub 通知が失敗します。

次のステップ

デプロイポリシーの構成の詳細については、構成ファイルのスキーマをご覧ください。
Cloud Deploy のデプロイ自動化について学習します。

ポリシーを使用してデプロイ動作を制限する

制限できる動作

ポリシーの評価と適用方法

要件と制限事項

必要な Identity and Access Management のロールと権限

デプロイ ポリシーの作成

デプロイ ポリシー セレクタ

ポリシー ルールをデプロイする

rolloutRestriction ルールの日時

繰り返しなしの時間枠

繰り返しの時間枠

例

年次凍結

週末フリーズの繰り返し

デプロイ ポリシーを更新する

デプロイ ポリシーをオーバーライドする

Console

gcloud CLI

デプロイ ポリシーを削除する

Console

gcloud CLI

デプロイ ポリシーのロギング

次のステップ

デプロイポリシーの作成

デプロイポリシーセレクタ

ポリシールールをデプロイする

`rolloutRestriction` ルールの日時

デプロイポリシーを更新する

デプロイポリシーをオーバーライドする

デプロイポリシーを削除する

デプロイポリシーのロギング