Políticas da organização de CMEK

O Google Cloud oferece duas restrições de política da organização para garantir o uso de CMEK em uma organização:

• constraints/gcp.restrictNonCmekServices é usado para exigir a proteção da CMEK.
• constraints/gcp.restrictCmekCryptoKeyProjects é usado para limitar quais chaves do Cloud KMS são usadas para proteção de CMEK.

As políticas da organização de CMEK se aplicam apenas a recursos recém-criados nos serviços compatíveis do Google Cloud.

Funções exigidas

Para garantir que cada usuário tenha as permissões necessárias para verificar as políticas da organização ao criar recursos, peça ao administrador para conceder a cada usuário o papel do IAM de Leitor de políticas da organização (roles/orgpolicy.policyViewer) na sua organização. Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

Esse papel predefinido contém as permissões necessárias para verificar as políticas da organização ao criar recursos. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As permissões a seguir são necessárias para verificar as políticas da organização ao criar recursos:

• Para acessar todos os detalhes da política da organização: orgpolicy.policy.get
• Para verificar a política da organização ao criar recursos: orgpolicy.policies.check

O administrador também pode conceder essas permissões a cada usuário com papéis personalizados ou outros papéis predefinidos.

Quando as políticas da organização estão ativas, a permissão orgpolicy.policies.check é necessária para usuários do console do Google Cloud que criam recursos protegidos por chaves CMEK. Usuários sem essa permissão podem criar recursos protegidos pela CMEK usando o console do Google Cloud, mas podem selecionar uma chave CMEK que não é permitida pela restrição restrictCmekCryptoKeyProjects. Quando uma chave que não atende a essa restrição é selecionada, a criação de recursos falha.

Observação: a permissão orgpolicy.policies.check não está visível no console do Google Cloud, mas foi adicionada a todos os papéis predefinidos que incluem a permissão orgpolicy.policy.get. Se a organização usar papéis personalizados e políticas da organização de CMEK, use a CLI gcloud para adicionar a permissão orgpolicy.policies.check a cada papel que pode criar recursos. Para mais informações, consulte Como editar um papel personalizado.

Exigir proteção de CMEK

Para exigir a proteção de CMEK para sua organização, configure a política da organização constraints/gcp.restrictNonCmekServices.

Como uma restrição de lista, os valores aceitos para essa restrição são nomes de serviços do Google Cloud (por exemplo, sqladmin.googleapis.com). Para usar essa restrição, forneça uma lista de nomes de serviços do Google Cloud e defina a restrição como Negar. Essa configuração bloqueará a criação de recursos nesses serviços se o recurso não estiver protegido pela CMEK. Em outras palavras, as solicitações para criar um recurso no serviço não são bem-sucedidas sem especificar uma chave do Cloud KMS. Além disso, essa restrição bloqueia a remoção da proteção de CMEK dos recursos nesses serviços. Essa restrição só pode ser aplicada a serviços compatíveis.

Cuidado: a criação de alguns tipos de recursos do Google Cloud pode acionar a criação de um tipo de recurso a partir de um serviço diferente. Tenha cuidado ao configurar essa restrição em um ambiente com serviços que não são compatíveis com CMEK. Exigir a proteção de CMEK para um serviço que reconhece CMEK pode impedir que um serviço sem reconhecimento de CMEK crie recursos e atrapalhe a funcionalidade normal.

Limitar o uso de chaves do Cloud KMS para CMEK

Para limitar quais chaves do Cloud KMS são usadas para proteção de CMEK, configure a restrição constraints/gcp.restrictCmekCryptoKeyProjects.

Como uma restrição de lista, os valores aceitos são indicadores de hierarquia de recursos (por exemplo, projects/PROJECT_ID, under:folders/FOLDER_ID e under:organizations/ORGANIZATION_ID). Use essa restrição configurando uma lista de indicadores de hierarquia de recursos e definindo a restrição como Permitir. Essa configuração restringe os serviços com suporte para que as chaves CMEK possam ser escolhidas apenas nos projetos, pastas e organizações listados. As solicitações para criar recursos protegidos pela CMEK em serviços configurados não são bem-sucedidas sem uma chave do Cloud KMS de um dos recursos permitidos. Quando configurada, essa restrição se aplica a todos os serviços compatíveis.

Observação: essa restrição por si só não garante necessariamente o uso de chaves de criptografia gerenciadas pelo cliente de projetos permitidos nos serviços especificados, porque outros métodos de criptografia podem estar disponíveis. Para impor o uso de chaves de criptografia gerenciadas pelo cliente em projetos permitidos, é necessário aplicar essa restrição e a constraints/gcp.restrictNonCmekServices.

Serviços com suporte

Serviço	Valor de restrição ao exigir CMEK
Application Integration	integrations.googleapis.com
Artifact Registry	artifactregistry.googleapis.com
BigQuery	bigquery.googleapis.com
Bigtable	bigtable.googleapis.com
Cloud Composer	composer.googleapis.com
Cloud Functions	cloudfunctions.googleapis.com
Cloud Logging	logging.googleapis.com
Cloud Run	run.googleapis.com
Cloud SQL	sqladmin.googleapis.com
Cloud Storage	storage.googleapis.com
Cloud Workstations	workstations.googleapis.com
Compute Engine	compute.googleapis.com
Dataflow	dataflow.googleapis.com
Dataproc	dataproc.googleapis.com
Document AI	documentai.googleapis.com
Filestore	file.googleapis.com
Google Kubernetes Engine (Pré-lançamento)	container.googleapis.com
Pub/Sub	pubsub.googleapis.com
Secret Manager	secretmanager.googleapis.com
Spanner	spanner.googleapis.com
Vertex AI	aiplatform.googleapis.com
Instâncias do Vertex AI Workbench	notebooks.googleapis.com

Exceções de aplicação por tipo de recurso

As restrições da política da organização de CMEK são aplicadas ao criar um novo recurso ou ao alterar (quando compatível) a chave do Cloud KMS em um recurso atual. Em geral, elas são aplicadas em todos os tipos de recursos de um serviço compatíveis com CMEK e com base apenas na configuração do recurso. Algumas exceções importantes estão resumidas aqui:

Tipo de recurso	Exceção de aplicação
bigquery.googleapis.com/Dataset	Parcialmente aplicado na chave padrão do Cloud KMS do conjunto de dados (somente no gcp.restrictCmekCryptoKeyProjects)
bigquery.googleapis.com/Job	Apenas jobs de consulta: aplicado na chave do Cloud KMS fornecida com consulta ou padrão do projeto de faturamento. Consulte também a configuração separada da chave padrão do Cloud KMS do projeto
bigquerydatatransfer.googleapis.com/TransferConfig	As configurações de transferência usam o nome do serviço do serviço de transferência de dados (bigquerydatatransfer.googleapis.com) para restrições da política da organização de CMEK.
container.googleapis.com/Cluster	(Visualização) Aplicado na chave do Cloud KMS apenas para disco de inicialização de nós. Não aplicado em secrets na camada do aplicativo
logging.googleapis.com/LogBucket	Aplicada em buckets de registros criados explicitamente. Consulte também a configuração necessária para garantir a conformidade de buckets de registro integrados.
storage.googleapis.com/Bucket	Aplicado na chave padrão do Cloud KMS do bucket
storage.googleapis.com/Object	Aplicada independentemente do bucket. Consulte também a configuração separada da chave padrão do Cloud KMS do bucket

Exemplos de configuração

Nos exemplos de configuração, suponha que a organização de amostra tenha a seguinte hierarquia de recursos:

Observação :as políticas da organização de CMEKs só se aplicam a recursos recém-criados nos serviços com suporte.

Exigir CMEK e limitar chaves para um projeto

Suponha que você queira exigir a proteção da CMEK para todos os recursos do Cloud Storage em projects/5 e garantir que apenas as chaves provenientes de projects/4 possam ser usadas.

Para exigir a proteção de CMEK para todos os novos recursos do Cloud Storage, use a seguinte configuração de política da organização:

• Política da organização: constraints/gcp.restrictNonCmekServices
• Vinculação em: projects/5
• Tipo de política: Negar
• Valor da política: storage.googleapis.com

Para garantir que apenas chaves de projects/4 sejam usadas, use a seguinte configuração:

• Política da organização: constraints/gcp.restrictCmekCryptoKeyProjects
• Vinculação em: projects/5
• Tipo de política: Allow
• Valor da política: projects/4

Exigir CMEK e limitar chaves a uma pasta

Como alternativa, suponha que você queira adicionar outros projetos do Cloud KMS em folders/2 no futuro e exigir a CMEK de maneira mais ampla em folders/3. Neste cenário, você precisa de configurações um pouco diferentes.

Para exigir mais proteção da CMEK para novos recursos do Cloud SQL e do Cloud Storage em qualquer lugar em folders/3:

• Política da organização: constraints/gcp.restrictNonCmekServices
• Vinculação em: folders/3
• Tipo de política: Negar
• Valores da política: sqladmin.googleapis.com, storage.googleapis.com

Para garantir que apenas chaves de projetos do Cloud KMS em folders/2 sejam usadas:

• Política da organização: constraints/gcp.restrictCmekCryptoKeyProjects
• Vinculação em: folders/3
• Tipo de política: Allow
• Valor da política: under:folders/2

Exigir CMEK para uma organização

Para exigir CMEK em todos os lugares na organização (em serviços com suporte), defina a restrição constraints/gcp.restrictNonCmekServices com a seguinte configuração:

• Política da organização: constraints/gcp.restrictNonCmekServices
• Vinculação em: organizations/1
• Tipo de política: Negar
• Valores da política: (todos os serviços compatíveis)

Limitações

Se você usar o console do Google Cloud para criar um recurso, poderá notar que não é possível usar opções de criptografia diferentes da CMEK quando constraints/gcp.restrictNonCmekServices está configurado para um projeto e um serviço. A restrição da política da organização de CMEK só fica visível quando a conta de cliente recebe a permissão orgpolicy.policy.get do IAM no projeto.

A seguir

Consulte Introdução ao serviço de política da organização para saber mais sobre os benefícios e casos de uso comuns das políticas da organização.

Para mais exemplos sobre como criar uma política da organização com restrições específicas, consulte Como usar restrições.