Gérer les ressources de fonction à l'aide de contraintes personnalisées

En tant qu'administrateur d'organisation, vous pouvez créer des contraintes personnalisées pour les fonctions Cloud Run. Les règles d'organisation appliquent ces contraintes personnalisées au niveau du projet, du dossier ou de l'organisation.

Les règles d'administration fournissent des contraintes prédéfinies pour divers services Google Cloud. Toutefois, si vous souhaitez exercer un contrôle plus précis et personnalisable sur les champs spécifiques restreints dans vos règles d'administration, vous pouvez également créer des règles d'administration personnalisées.

Cette page explique comment créer des contraintes personnalisées pour les fonctions créées à l'aide des API Cloud Functions v2 et les appliquer au niveau du projet. Pour en savoir plus sur les règles d'organisation personnalisées, consultez la page Créer et gérer des règles d'organisation personnalisées.

Avantages

  • Gestion des coûts : utilisez des règles d'administration personnalisées pour limiter les tailles et les types d'instances de VM et de disques pouvant être utilisés dans votre organisation. Vous pouvez également limiter la famille de machines utilisée pour l'instance de VM.
  • Sécurité, conformité et gouvernance :
    • Pour appliquer des exigences de sécurité, vous pouvez requérir des règles de port de pare-feu spécifiques sur les VM.
    • Pour garantir l'isolation du matériel ou la conformité des licences, vous pouvez exiger que toutes les VM dans un dossier ou un projet spécifique s'exécutent sur des nœuds à locataire unique.
    • Pour régir les scripts d'automatisation, vous pouvez utiliser des règles d'organisation personnalisées afin de vérifier que les libellés correspondent aux expressions nécessaires.

Héritage des règles

Lorsqu'une règle d'organisation est appliquée à une ressource, tous les descendants de la ressource héritent également de la règle d'organisation. Par exemple, si vous appliquez une stratégie au niveau d'un dossier, Google Cloud l'applique à tous les projets du dossier. Pour mieux comprendre ce comportement et savoir comment le modifier, consultez la page Comprendre le processus d'évaluation hiérarchique.

Tarifs

Le service de règles d'administration, y compris les règles d'administration prédéfinies et personnalisées, est proposé gratuitement.

Limites

Les limites suivantes s'appliquent aux règles d'organisation personnalisées :

  • Non appliqué aux noms d'instances de VM lorsque vous utilisez l'API d'insertion groupée.
  • Uniquement appliquées à la méthode CREATE pour les ressources Compute Engine.
  • Disponible uniquement sur les API Cloud Functions v2. Ils ne peuvent pas être appliqués aux fonctions Cloud Run (1re génération).
  • Ne protégez les fonctions que lorsque vous utilisez les API Cloud Functions v2. Les fonctions Cloud Run peuvent également être modifiées à partir de l'API Cloud Run. Pour une protection supplémentaire, vous devrez peut-être également appliquer des contraintes personnalisées sur Cloud Run.

Avant de commencer

Rôles requis

Créer une contrainte personnalisée

Une contrainte personnalisée est définie par un fichier YAML utilisant des ressources, des méthodes, des conditions et des actions compatibles avec le service sur lequel vous appliquez la règle d'administration. Les conditions de vos contraintes personnalisées sont définies à l'aide du langage CEL (Common Expression Language). Pour en savoir plus sur la création de conditions dans des contraintes personnalisées à l'aide du CEL, consultez la section CEL de la page Créer et gérer des contraintes personnalisées.

Pour spécifier une contrainte personnalisée qui refuse toute création de fonction avec une instance maximale supérieure à 150, procédez comme suit :

  • Créez un fichier maxInstanceConstraint.yaml avec le contenu suivant :

    name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- cloudfunctions.googleapis.com/Function
methodTypes: 
- CREATE
- UPDATE
condition: resource.serviceConfig.maxInstanceCount > 150
actionType: DENY
displayName: Deny functions with max instance count greater than 150
description: Functions cannot be created with a max instance count greater than 150

Remplacez ORGANIZATION_ID par l'ID de votre organisation, par exemple 123456789.

Pour en savoir plus, consultez la section Définir des contraintes personnalisées.

Configurer une contrainte personnalisée

Après avoir créé le fichier YAML pour une nouvelle contrainte personnalisée, vous devez le configurer pour le rendre disponible pour les règles d'administration de votre organisation. Pour configurer une contrainte personnalisée, utilisez la commande gcloud org-policies set-custom-constraint : 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Remplacez CONSTRAINT_PATH par le chemin d'accès complet à votre fichier de contrainte personnalisée. Par exemple, /home/user/customconstraint.yaml. Une fois terminée, vos contraintes personnalisées sont disponibles en tant que règles d'organisation dans votre liste de règles d'organisation Google Cloud. Pour vérifier que la contrainte personnalisée existe, utilisez la commande gcloud org-policies list-custom-constraints : 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Remplacez ORGANIZATION_ID par l'ID de votre ressource d'organisation. Pour en savoir plus, consultez la page Afficher les règles d'administration.

Appliquer une règle d'administration personnalisée

Vous pouvez appliquer une contrainte booléenne en créant une règle d'administration qui la référence et en appliquant cette règle d'administration à une ressource Google Cloud.

Console

  1. Dans Google Cloud Console, accédez à la page Règles d'administration.

    Accéder à la page Règles d'administration

  2. Dans le sélecteur de projets, choisissez le projet pour lequel vous souhaitez définir la règle d'administration.
  3. Dans la liste de la page Règles d'administration, sélectionnez votre contrainte pour afficher la page Détails de la règle correspondante.
  4. Pour configurer la règle d'administration pour cette ressource, cliquez sur Gérer la règle.
  5. Sur la page Modifier la stratégie, sélectionnez Remplacer la stratégie parente.
  6. Cliquez sur Ajouter une règle.
  7. Dans la section Application, indiquez si l'application de cette règle d'administration doit être activée ou désactivée.
  8. Pour rendre la règle d'administration conditionnelle sur un tag, cliquez sur Ajouter une condition. Notez que si vous ajoutez une règle conditionnelle à une règle d'administration, vous devez ajouter au moins une règle inconditionnelle, sinon la règle ne pourra pas être enregistrée. Pour en savoir plus, consultez la section Définir une règle d'administration avec des tags.
  9. S'il s'agit d'une contrainte personnalisée, vous pouvez cliquer sur Tester les modifications pour simuler l'effet de cette règle d'administration. Pour en savoir plus, consultez la section Tester les modifications apportées aux règles d'administration à l'aide de Policy Simulator.
  10. Pour finaliser et appliquer la règle d'administration, cliquez sur Définir la règle. La prise en compte de la règle peut prendre jusqu'à 15 minutes.

gcloud

Pour créer une règle d'administration qui applique une contrainte booléenne, créez un fichier YAML de règle qui référence la contrainte : 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Remplacez les éléments suivants :

  • PROJECT_ID : projet sur lequel vous souhaitez appliquer votre contrainte.
  • CONSTRAINT_NAME : nom que vous avez défini pour la contrainte personnalisée Par exemple, custom.cloudFunctionsMaxInstanceLimit.

Pour appliquer la règle d'administration contenant la contrainte, exécutez la commande suivante : 

    gcloud org-policies set-policy POLICY_PATH

Remplacez POLICY_PATH par le chemin d'accès complet au fichier YAML de votre règle d'administration. La prise en compte de la règle peut prendre jusqu'à 15 minutes.

Tester la règle d'administration personnalisée

Pour créer une fonction avec une instance maximale de 151, exécutez la commande suivante :

gcloud functions deploy FUNCTION_NAME \
  ...
  --max-instances 151

Le résultat suivant s'affiche :

 Operation denied by custom org policy on resource: ["customConstraints/custom.cloudFunctionsMaxInstanceLimit": "Cloud Functions cannot be created with a max instance count greater than 150."]

Ressources et opérations compatibles avec Cloud Run Functions

Type de ressource Types de méthodes Documentation de référence de l'API
cloudfunctions.googleapis.com/Function CREATE, UPDATE projects.locations.functions

Exemples de règles d'organisation courantes

Le tableau suivant fournit la syntaxe de certaines règles d'organisation personnalisées qui pourraient vous être utiles :

Description Syntaxe de la contrainte
Empêcher la création de fonctions avec un langage spécifique 
    name: organizations/ORGANIZATION_IDcustomConstraints/custom.cloudFunctionRuntimeBlock
    resource_types: cloudfunctions.googleapis.com/Function
    method_types:
      - CREATE
      - UPDATE
    condition: resource.buildConfig.runtime == "python312"
    action_type: DENY
    display_name: Deny functions using Python 3.12
    description: Functions cannot be created with Python 3.12 as the language runtime
Exiger que les fonctions utilisent un pool de nœuds de calcul spécifique 
    name: organizations/ORGANIZATION_ID/customConstraints/custom.cloudFunctionsWorkerPool
    resource_types: cloudfunctions.googleapis.com/Function
    method_types:
      - CREATE
      - UPDATE
    condition: resource.buildConfig.workerPool == "WORKER_POOL"
    action_type: DENY
    display_name: Require worker pool
    description: Functions must use a worker pool
Remplacer WORKER_POOL par le nom de votre pool de nœuds de calcul Cloud Build.
Exiger que les fonctions stockent toutes les images de conteneur dans un dépôt d'images spécifique 
    name: organizations/ORGANIZATION_ID/customConstraints/custom.cloudFunctionsRepository
    resource_types: cloudfunctions.googleapis.com/Function
    method_types:
      - CREATE
      - UPDATE
    condition: resource.buildConfig.dockerRepository.startsWith("REPO_PATH")
    action_type: DENY
    display_name: Image repository constraint
    description: Functions must push images to a central image repository under REPO_PATH
 Remplacer REPO_PATH par l'URI de l'URL du dépôt d'images dans lequel vous souhaitez que toutes les fonctions stockent leurs images de conteneur.

Étape suivante