Criteri dell'organizzazione CMEK

Google Cloud offre due vincoli dei criteri dell'organizzazione per contribuire a garantire CMEK all'interno di un'organizzazione:

• constraints/gcp.restrictNonCmekServices viene utilizzato per richiedere CMEK protezione dei dati.
• constraints/gcp.restrictCmekCryptoKeyProjects viene utilizzato per limitare quali Le chiavi Cloud KMS vengono utilizzate per la protezione CMEK.

I criteri dell'organizzazione CMEK si applicano solo alle risorse appena create in servizi Google Cloud supportati.

Ruoli obbligatori

Per garantire che ogni utente abbia i requisiti autorizzazioni per controllare i criteri dell'organizzazione durante la creazione di risorse, chiedi all'amministratore di concedere a ogni utente Ruolo IAM Visualizzatore criteri organizzazione (roles/orgpolicy.policyViewer) nella tua organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene le autorizzazioni necessarie per controllare i criteri dell'organizzazione durante la creazione delle risorse. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per controllare i criteri dell'organizzazione durante la creazione di risorse sono necessarie le seguenti autorizzazioni:

• Per visualizzare i dettagli completi dei criteri dell'organizzazione: orgpolicy.policy.get
• Per controllare il criterio dell'organizzazione durante la creazione delle risorse: orgpolicy.policies.check

L'amministratore potrebbe anche essere in grado di concedere a ogni utente queste autorizzazioni con ruoli personalizzati altri ruoli predefiniti.

Quando i criteri dell'organizzazione sono attivi, l'autorizzazione orgpolicy.policies.check per gli utenti della console Google Cloud che creano risorse protette da chiavi CMEK. Gli utenti senza questa autorizzazione possono creare un ambiente protetto da CMEK utilizzando la console Google Cloud, ma possono selezionare una chiave CMEK non è consentito dal vincolo restrictCmekCryptoKeyProjects. Quando una chiave non soddisfa questo vincolo se è selezionata, la creazione della risorsa alla fine non riesce.

Nota: l'autorizzazione orgpolicy.policies.check non è visibile nella console Google Cloud, ma è stato aggiunto a tutti i ruoli predefiniti che includono l'autorizzazione orgpolicy.policy.get. Se la tua organizzazione utilizza ruoli personalizzati e i criteri dell'organizzazione CMEK, utilizza gcloud CLI per aggiungere orgpolicy.policies.check autorizzazione per ogni ruolo che può creare risorse. Per ulteriori informazioni, consulta la sezione Modifica di un modello .

Richiedi protezione CMEK

Per richiedere la protezione CMEK per la tua organizzazione, configura constraints/gcp.restrictNonCmekServices criterio dell'organizzazione.

Come vincolo di elenco, i valori accettati per questo vincolo sono Google Cloud nomi dei servizi (ad esempio, sqladmin.googleapis.com). Utilizza questo vincolo per fornendo un elenco di nomi dei servizi Google Cloud e impostando il vincolo su Rifiuta. Questa configurazione blocca la creazione di risorse in questi se la risorsa non è protetta da CMEK. Nel In altre parole, le richieste di creazione di una risorsa nel servizio non hanno esito positivo senza che specifica una chiave Cloud KMS. Inoltre, questo vincolo blocca la rimozione della protezione CMEK dalle risorse in questi servizi. Questo vincolo può essere applicata solo ai servizi supportati.

Attenzione: la creazione di alcuni tipi di risorse Google Cloud può attivare e la creazione di un tipo di risorsa da un altro servizio. Presta attenzione quando la configurazione di questo vincolo in un ambiente con servizi che non supportano tramite CMEK. La richiesta della protezione CMEK per un servizio che supporta CMEK potrebbe impedire al servizio CMEK-unaware di creare risorse e interrompere la normale funzionalità.

Limita l'utilizzo delle chiavi Cloud KMS per CMEK

Per limitare le chiavi Cloud KMS utilizzate per la protezione CMEK, configurare il vincolo constraints/gcp.restrictCmekCryptoKeyProjects.

Come vincolo di elenco, i valori accettati sono indicatori della gerarchia delle risorse (ad ad esempio projects/PROJECT_ID, under:folders/FOLDER_ID e under:organizations/ORGANIZATION_ID). Utilizza questo vincolo configurando di indicatori della gerarchia delle risorse e l'impostazione del vincolo su Consenti. Questa configurazione limita i servizi supportati in modo che sia possibile scegliere le chiavi CMEK solo dai progetti, dalle cartelle e dalle organizzazioni elencati. Richieste di creazione Le risorse protette da CMEK nei servizi configurati non avranno esito positivo senza Chiave Cloud KMS da una delle risorse consentite. In base alla configurazione, questo vincolo si applica a tutti i servizi supportati.

Nota: questo vincolo di per sé non garantisce necessariamente l'utilizzo di le chiavi di crittografia gestite dal cliente dai progetti consentiti all'interno dell'intervallo specificato perché potrebbero essere disponibili altri metodi di crittografia. Per applicare il chiavi di crittografia gestite dal cliente da progetti consentiti, devi applicare sia questo vincolo sia constraints/gcp.restrictNonCmekServices di blocco.

Servizi supportati

Servizio	Valore del vincolo quando viene richiesta una CMEK
Integrazione delle applicazioni	integrations.googleapis.com
Artifact Registry	artifactregistry.googleapis.com
BigQuery	bigquery.googleapis.com
Bigtable	bigtable.googleapis.com
Cloud Composer	composer.googleapis.com
Cloud Functions	cloudfunctions.googleapis.com
Cloud Logging	logging.googleapis.com
Cloud Run	run.googleapis.com
Cloud SQL	sqladmin.googleapis.com
Cloud Storage	storage.googleapis.com
Cloud Workstations	workstations.googleapis.com
Colab Enterprise	aiplatform.googleapis.com
Compute Engine	compute.googleapis.com
Dataflow	dataflow.googleapis.com
Dataproc	dataproc.googleapis.com
Document AI	documentai.googleapis.com
Filestore	file.googleapis.com
Firestore (anteprima)	firestore.googleapis.com
Google Kubernetes Engine (anteprima)	container.googleapis.com
Pub/Sub	pubsub.googleapis.com
Secret Manager	secretmanager.googleapis.com
Spanner	spanner.googleapis.com
Vertex AI	aiplatform.googleapis.com
Istanze di Vertex AI Workbench	notebooks.googleapis.com

Eccezioni dell'applicazione per tipo di risorsa

I vincoli dei criteri dell'organizzazione CMEK vengono applicati durante la creazione di una nuova risorsa o quando modifichi (se supportata) la chiave Cloud KMS su un modello risorsa. Generalmente, vengono applicate a tutti i tipi di risorse di un servizio che supportano CMEK e si basa esclusivamente sulla configurazione della risorsa. Alcune degne di nota le eccezioni sono riassunte qui:

Tipo di risorsa	Eccezione dell'applicazione
bigquery.googleapis.com/Dataset	Applicato parzialmente sulla chiave Cloud KMS predefinita del set di dati (solo gcp.restrictCmekCryptoKeyProjects)
bigquery.googleapis.com/Job	Solo job di query: applicato alla chiave Cloud KMS fornita con la query o predefinito dal progetto di fatturazione; vedi anche configurazione separata dei progetti chiave Cloud KMS predefinita
bigquerydatatransfer.googleapis.com/TransferConfig	Le configurazioni di trasferimento utilizzano il nome del servizio di Data Transfer Service (bigquerydatatransfer.googleapis.com) per i vincoli dei criteri dell'organizzazione CMEK.
container.googleapis.com/Cluster	(Anteprima) Applicato sulla chiave Cloud KMS per l'avvio del nodo solo disco; non applicato ai secret a livello di applicazione
logging.googleapis.com/LogBucket	Applicata sui bucket di log creati esplicitamente. vedi anche configurazione separata necessarie per garantire la conformità dei bucket di log integrati
storage.googleapis.com/Bucket	Applicata sulla chiave Cloud KMS predefinita del bucket
storage.googleapis.com/Object	Applicata indipendentemente dal bucket. vedi anche configurazione della chiave Cloud KMS predefinita del bucket

Esempi di configurazione

Negli esempi di configurazione, supponiamo che l'organizzazione di esempio abbia quanto segue gerarchia delle risorse:

Nota: i criteri dell'organizzazione CMEK si applicano solo alle risorse appena create in servizi supportati.

Richiedi chiavi CMEK e limite per un progetto

Supponiamo di voler richiedere la protezione CMEK per tutte le risorse Cloud Storage in projects/5 e assicurati che sia possibile eseguire solo le chiavi provenienti da projects/4 in uso.

Per richiedere la protezione CMEK per tutte le nuove risorse Cloud Storage, utilizza il seguente impostazione dei criteri dell'organizzazione:

• Criterio dell'organizzazione: constraints/gcp.restrictNonCmekServices
• Associazione a: projects/5
• Tipo di criterio: Nega
• Valore del criterio: storage.googleapis.com

Per assicurarti che vengano utilizzate solo le chiavi del dominio projects/4, utilizza la seguente configurazione:

• Criterio dell'organizzazione: constraints/gcp.restrictCmekCryptoKeyProjects
• Associazione a: projects/5
• Tipo di criterio: Allow
• Valore del criterio: projects/4

Richiedi CMEK e limita le chiavi all'interno di una cartella

In alternativa, supponiamo di voler aggiungere altro Cloud KMS progetti in folders/2 in futuro e vuoi richiedere CMEK in modo più ampio in folders/3. Per questo scenario, devi avere requisiti configurazioni.

Per richiedere un'ulteriore protezione CMEK per le nuove funzionalità Cloud SQL e Cloud Storage ovunque in folders/3:

• Criterio dell'organizzazione: constraints/gcp.restrictNonCmekServices
• Associazione a: folders/3
• Tipo di criterio: Nega
• Valori dei criteri: sqladmin.googleapis.com, storage.googleapis.com

Per garantire che solo le chiavi dei progetti Cloud KMS in folders/2 siano utilizzata:

• Criterio dell'organizzazione: constraints/gcp.restrictCmekCryptoKeyProjects
• Associazione a: folders/3
• Tipo di criterio: Allow
• Valore del criterio: under:folders/2

Richiedi CMEK per un'organizzazione

Per richiedere CMEK in tutto l'organizzazione (nei servizi supportati), configurare il vincolo constraints/gcp.restrictNonCmekServices seguente impostazione:

• Criterio dell'organizzazione: constraints/gcp.restrictNonCmekServices
• Associazione a: organizations/1
• Tipo di criterio: Nega
• Valori dei criteri: (tutti i servizi supportati)

Limitazioni

Se utilizzi la console Google Cloud per creare una risorsa, potresti notare che non è possibile utilizzare opzioni di crittografia diverse da CMEK quando constraints/gcp.restrictNonCmekServices è configurato per un progetto e completamente gestito di Google Cloud. La limitazione del criterio dell'organizzazione CMEK è visibile solo quando all'account cliente è stato concesso l'accesso IAM orgpolicy.policy.get l'autorizzazione per il progetto.

Passaggi successivi

Consulta Introduzione al criterio dell'organizzazione Servizio per saperne di più sui vantaggi e sui casi d'uso comuni per i criteri dell'organizzazione.

Per ulteriori esempi sulla creazione di un criterio dell'organizzazione con criteri dei vincoli, consulta l'articolo sull'utilizzo vincoli.