为 Cloud KMS 创建自定义组织政策限制条件

本页介绍了如何使用组织政策服务的自定义限制条件来 对以下 Google Cloud 资源执行特定操作：

  • cloudkms.googleapis.com/KeyHandle
  • cloudkms.googleapis.com/AutokeyConfig
  • cloudkms.googleapis.com/CryptoKey
  • cloudkms.googleapis.com/CryptoKeyVersion
  • cloudkms.googleapis.com/EkmConnection
  • cloudkms.googleapis.com/EkmConfig
  • cloudkms.googleapis.com/ImportJob

如需详细了解组织政策，请参阅自定义组织政策。

组织政策和限制条件简介

Google Cloud 组织政策服务可让您集中、程序化地 组织资源的控制作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的 Google Cloud 资源及其后代。您可以强制执行组织设置 组织政策。

组织政策为以下各项提供了预定义的限制条件： 各种 Google Cloud 服务但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。

政策继承

如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策，Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。

准备工作

  1. 登录您的 Google Cloud 账号。如果您是 Google Cloud 新手，请创建一个账号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. 确保您的 Google Cloud 项目已启用结算功能。

  4. Install the Google Cloud CLI.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  7. 确保您的 Google Cloud 项目已启用结算功能。

  8. Install the Google Cloud CLI.

  9. To initialize the gcloud CLI, run the following command: 

    gcloud init
  10. 请确保您知道您的组织 ID。

所需的角色

如需获得管理组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

创建自定义限制条件

自定义限制条件是在 YAML 文件中，由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。

如需创建自定义限制条件，请使用以下格式创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

  • ORGANIZATION_ID：您的组织 ID，例如 123456789。

  • CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.maxKeyRotationPeriod。此字段的最大长度为 70 个字符。

  • RESOURCE_NAME：包含要限制的对象和字段的 Google Cloud 资源的完全限定名称。例如 cloudkms.googleapis.com/CryptoKey。

  • CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。 如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。 例如 "resource.rotationPeriod <= 90"。

  • ACTION：满足 condition 时要执行的操作。可能的值包括 ALLOW 和 DENY。

  • DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。

  • DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅定义自定义限制条件。

设置自定义限制条件

为新的自定义限制条件创建 YAML 文件后，您必须对其进行设置，以使其可用于组织中的组织政策。如需设置自定义限制条件，请使用 gcloud org-policies set-custom-constraint 命令： 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件将作为组织政策显示在 Google Cloud 组织政策列表中。 如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令： 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 将 ORGANIZATION_ID 替换为您的组织资源的 ID。 如需了解详情，请参阅查看组织政策。

强制执行自定义组织政策

如需强制执行布尔值限制条件，您可以创建引用该限制条件的组织政策，然后将该组织政策应用于 Google Cloud 资源。

控制台

  1. 在 Google Cloud 控制台中，转到组织政策页面。

    转到“组织政策”

  2. 在项目选择器中，选择要设置组织政策的项目。
  3. 从组织政策页面的列表中选择要查看的限制条件 该限制条件的政策详情页面。
  4. 如需为该资源配置组织政策，请点击管理政策。
  5. 在修改政策页面，选择覆盖父级政策。
  6. 点击添加规则。
  7. 在强制执行部分中，选择开启还是关闭此组织政策的强制执行。
  8. （可选）如需使组织政策成为基于某个标记的条件性政策，请点击添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。有关 请参阅 使用标记设置组织政策。
  9. 如果是自定义限制条件，您可以点击测试更改来模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
  10. 若要完成并应用组织政策，请点击设置政策。该政策最多需要 15 分钟才能生效。

gcloud

如需创建强制执行布尔值限制条件的组织政策，请创建引用该限制条件的 YAML 政策文件： 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

请替换以下内容：

  • PROJECT_ID：要对其实施限制条件的项目。
  • CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.maxKeyRotationPeriod。

如需强制执行包含限制条件的组织政策，请运行以下命令： 

    gcloud org-policies set-policy POLICY_PATH

将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最多需要 15 分钟才能生效。

常见用例的自定义组织政策示例

下表提供了一些常见用例的自定义约束条件的语法：

说明 限制条件语法
将轮替周期设为 90 天上限 
    name: organizations/ORGANIZATION_ID/customConstraints/custom.maxRotationPeriod
    resourceTypes:
    - cloudkms.googleapis.com/CryptoKey
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.rotationPeriod <= 90"
    actionType: ALLOW
    displayName: Enforce maximum rotation period for Cloud KMS keys
    description: The maximum rotation period for Cloud KMS keys is 90 days.
将预定销毁时长上限设置为 180 天 
    name: organizations/ORGANIZATION_ID/customConstraints/custom.maxRotationPeriod
    resourceTypes:
    - cloudkms.googleapis.com/CryptoKey
    methodTypes:
    - CREATE
    condition: "resource.destroyScheduledDuration <= 180"
    actionType: ALLOW
    displayName: Enforce maximum scheduled for destruction duration
    description: The maximum length of the scheduled for destruction period is 180 days.
要求已导入密钥的保护级别为 HSM 
    name: organizations/ORGANIZATION_ID/customConstraints/custom.importToHSM
    resourceTypes:
    - cloudkms.googleapis.com/ImportJob
    methodTypes:
    - CREATE
    condition: "resource.protectionLevel == HSM"
    actionType: ALLOW
    displayName: Import to HSM keys only
    description: New ImportJob resources must use the HSM protection level.

Cloud Key Management Service 支持的资源和操作

下表列出了可供您参考的 Cloud Key Management Service 资源 自定义限制条件

资源 字段
cloudkms.googleapis.com/AutokeyConfig resource.keyProject
resource.name
cloudkms.googleapis.com/CryptoKey resource.cryptoKeyBackend
resource.destroyScheduledDuration
resource.importOnly
resource.keyAccessJustificationsPolicy.allowedAccessReasons
resource.nextRotationTime
resource.purpose
resource.rotationPeriod
resource.versionTemplate.algorithm
resource.versionTemplate.protectionLevel
cloudkms.googleapis.com/CryptoKeyVersion resource.externalProtectionLevelOptions.ekmConnectionKeyPath
resource.externalProtectionLevelOptions.externalKeyUri
resource.state
cloudkms.googleapis.com/EkmConfig resource.defaultEkmConnection
cloudkms.googleapis.com/EkmConnection resource.cryptoSpacePath
resource.keyManagementMode
resource.serviceResolvers.endpointFilter
resource.serviceResolvers.hostname
resource.serviceResolvers.serviceDirectoryService
cloudkms.googleapis.com/ImportJob resource.importMethod
resource.protectionLevel
cloudkms.googleapis.com/KeyHandle resource.name
resource.resourceTypeSelector

后续步骤