Gestire le risorse Memorystore for Redis con vincoli personalizzati

La policy dell'organizzazioneGoogle Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore della policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un set di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.

La policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare policy dell'organizzazione personalizzate.

Implementando un criterio dell'organizzazione personalizzato, applichi configurazioni e limitazioni coerenti. In questo modo, le tue istanze Memorystore for Redis rispettano le best practice per la sicurezza e i requisiti normativi.

Vantaggi

Puoi utilizzare un criterio dell'organizzazione personalizzato per consentire o negare risorse Memorystore for Redis specifiche. Ad esempio, se una richiesta di creazione o aggiornamento di un'istanza Redis non soddisfa la convalida dei vincoli personalizzati impostata dai criteri dell'organizzazione, la richiesta non andrà a buon fine e verrà restituito un errore al chiamante.

Ereditarietà delle policy

Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Prezzi

Il servizio relativo alle policy dell'organizzazione, incluse le policy predefinite e personalizzate, viene fornito senza costi aggiuntivi.

Limitazioni

Come tutti i vincoli dei criteri dell'organizzazione, le modifiche ai criteri non vengono applicate retroattivamente alle istanze esistenti.

• Una nuova policy non influisce sulle configurazioni delle istanze esistenti.
• Una configurazione dell'istanza esistente rimane valida, a meno che tu non la modifichi da uno stato di conformità a uno di non conformità utilizzando la consoleGoogle Cloud , Google Cloud CLI o RPC.
• Un aggiornamento di manutenzione pianificato non causa l'applicazione di una policy, perché la manutenzione non modifica la configurazione delle istanze.

Prima di iniziare

1. Configura il progetto.
   Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Install the Google Cloud CLI.

   Se utilizzi un provider di identità (IdP) esterno, devi prima accedere alla gcloud CLI con la tua identità federata.

   Per inizializzare gcloud CLI, esegui questo comando:

   gcloud init

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Install the Google Cloud CLI.

   Se utilizzi un provider di identità (IdP) esterno, devi prima accedere alla gcloud CLI con la tua identità federata.

   Per inizializzare gcloud CLI, esegui questo comando:

   gcloud init

   1. Assicurati di conoscere il tuo ID organizzazione.

   Ruoli obbligatori

   Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore policy dell'organizzazione (roles/orgpolicy.policyAdmin) nella risorsa organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

   Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

   Devi anche aggiungere i ruoli richiesti per creare Memorystore for Redis al tuo account utente. Consulta Configurazione dell'accesso alle risorse Memorystore for Redis.

   Crea un vincolo personalizzato

   Puoi creare un vincolo personalizzato utilizzando un file YAML per definire le risorse, i metodi, le condizioni e le azioni soggette al vincolo. Questi sono specifici del servizio su cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati devono essere definite utilizzando Common Expression Language. Consulta la pagina di GitHub su Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.

   Utilizza il seguente modello per creare un file YAML per un vincolo personalizzato:

   name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
   resourceTypes:
   - redis.googleapis.com/RESOURCE_NAME
   methodTypes:
   - CREATE
   - UPDATE
   condition: "CONDITION"
   actionType: ACTION
   displayName: DISPLAY_NAME
   description: DESCRIPTION
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

   • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.restrictInstanceToOnereplica. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.allowConstraint.

   • RESOURCE_NAME: il nome (non l'URI) della risorsa Memorystore for Redis contenente l'oggetto e il campo che vuoi limitare. Ad esempio, Instance.

   • CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili in base a cui scrivere condizioni, consulta la sezione Risorse supportate. Ad esempio "resource.replicaCount >= 2".

   • ACTION: l'azione da eseguire se condition è soddisfatta. Può essere ALLOW o DENY.

   • DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

   • DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

   Per saperne di più su come creare un vincolo personalizzato, consulta Creazione e gestione delle policy dell'organizzazione personalizzate.

   Configura un vincolo personalizzato

   Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per le policy dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint:

   gcloud org-policies set-custom-constraint CONSTRAINT_PATH

   Sostituisci CONSTRAINT_PATH con il percorso completo del file del vincolo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati sono disponibili come policy dell'organizzazione nel tuo elenco di policy dell'organizzazione Google Cloud . Per verificare che il vincolo personalizzato esista, utilizza il comando gcloud org-policies list-custom-constraints:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

   Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione. Per ulteriori informazioni, consulta Visualizzazione delle policy dell'organizzazione.

   Applicare una policy dell'organizzazione personalizzata

   Puoi applicare un vincolo creando una policy dell'organizzazione che lo richiami e poi applicando questa policy dell'organizzazione a una risorsa Google Cloud .

   Console

   1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

      Vai a Policy dell'organizzazione

   2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
   3. Nell'elenco della pagina Policy dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli policy relativa al vincolo in questione.
   4. Per configurare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.
   5. Nella pagina Modifica policy, seleziona Esegui override della policy dell'unità organizzativa principale.
   6. Fai clic su Aggiungi una regola.
   7. Nella sezione Applicazione, seleziona se attivare o meno l'applicazione di questa policy dell'organizzazione
   8. (Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a una policy dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per ulteriori informazioni, consulta Impostazione di una policy dell'organizzazione con tag.
   9. Fai clic su Testa modifiche per simulare l'effetto della policy dell'organizzazione. La simulazione delle policy non è disponibile per i vincoli gestiti legacy. Per ulteriori informazioni, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.
   10. Per completare e applicare la policy dell'organizzazione, fai clic su Imposta policy. L'applicazione della policy può richiedere fino a 15 minuti.

   gcloud

   Per creare una policy dell'organizzazione con regole booleane, crea un file YAML della policy che faccia riferimento al vincolo:

         name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
         spec:
           rules:
           - enforce: true
       

   Sostituisci quanto segue:

   • PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
   • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio: custom.restrictInstanceToOnereplica.

   Per applicare la policy dell'organizzazione contenente il vincolo, esegui il seguente comando:

       gcloud org-policies set-policy POLICY_PATH
       

   Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

   Testare un vincolo personalizzato

   Per testare un vincolo personalizzato, esegui un comando gcloud che tenta di creare un'istanza Redis.

   Ad esempio, supponiamo che un vincolo richieda che le istanze Redis non abbiano più di una replica. Puoi testare questo vincolo eseguendo il comando gcloud redis instances create con replica-count impostato su 2, come mostrato nello snippet seguente:

   gcloud redis instances create redis-test-instance \
       --project=my-project \
       --tier=standard \
       --size=16 \
       --region=us-central1 \
       --redis-version=redis_7_0 \
       --network=projects/my-project/global/networks/default \
       --connect-mode=PRIVATE_SERVICE_ACCESS \
       --read-replicas-mode=READ_REPLICAS_ENABLED \
       --replica-count=2
   

   L'output è simile al seguente:

   Operation denied by custom org policies: ["customConstraints/custom.restrictInstanceToOnereplica": "Prevent users from creating Redis instances with more than one replica"]
   

   Risorse e operazioni supportate di Memorystore for Redis

   I seguenti campi di vincolo personalizzato di Memorystore for Redis sono disponibili per l'utilizzo quando crei o aggiorni una risorsa Memorystore for Redis.

   • Istanza Memorystore for Redis
     • resource.alternativeLocationId
     • resource.authEnabled
     • resource.authorizedNetwork
     • resource.availableMaintenanceVersions
     • resource.connectMode
     • resource.customerManagedKey
     • resource.displayName
     • resource.locationId
     • resource.maintenancePolicy.description
     • resource.maintenancePolicy.weeklyMaintenanceWindow.day
     • resource.maintenanceVersion
     • resource.memorySizeGb
     • resource.name
     • resource.persistenceConfig.persistenceMode
     • resource.persistenceConfig.rdbSnapshotPeriod
     • resource.persistenceConfig.rdbSnapshotStartTime
     • resource.readReplicasMode
     • resource.redisConfigs
     • resource.redisVersion
     • resource.replicaCount
     • resource.reservedIpRange
     • resource.secondaryIpRange
     • resource.suspensionReasons
     • resource.tier
     • resource.transitEncryptionMode

   Esempi di vincoli personalizzati

   La tabella seguente fornisce un esempio di vincolo personalizzato che limita l'istanza Redis a una replica:

   Descrizione	Sintassi del vincolo
   Limita le istanze Redis con una replica	name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictInstanceToOnereplica resourceTypes: - redis.googleapis.com/Instance methodTypes: - CREATE - UPDATE condition: "resource.replicaCount >= 2" actionType: DENY displayName: Restrict Redis instances to one replica description: Prevent users from creating Redis instances with more than one replica

   Passaggi successivi

   • Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione.
   • Scopri di più su come creare e gestire le policy dell'organizzazione.
   • Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.