此页面由 Cloud Translation API 翻译。

使用自定义限制条件管理 Memorystore for Redis 资源

Google Cloud 组织政策可让您以编程方式集中控制组织的资源。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的 Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。

组织政策为各种 Google Cloud 服务提供预定义限制条件。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义组织政策。

通过实施自定义组织政策，配置和限制这可确保您的 Memorystore for Redis 实例遵循安全最佳实践和监管要求。

优势

您可以使用自定义组织政策来允许或拒绝特定的 Memorystore for Redis 资源。例如，如果创建或更新 Redis 实例的请求未能满足贵组织政策中设置的自定义约束条件验证，该请求将失败，并向调用方返回错误。

政策继承

如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策，Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。

价格

组织政策服务（包括预定义组织政策和自定义组织政策）可免费使用。

限制

与所有组织政策限制条件一样，政策更改也不会应用回溯到现有实例。

新政策不会影响现有的实例配置。
现有实例配置将仍然有效，除非您更改使用 Google Cloud 控制台、Google Cloud CLI 或 RPC。
由于维护不会更改实例的配置，因此计划的维护更新不会导致政策强制执行。

准备工作

设置您的项目。
1. 确保您知道自己的组织 ID。

所需的角色

如需获得管理组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

您还需要在您的用户账号中添加所需的角色，才能创建 Memorystore for Redis。请参阅配置对 Memorystore for Redis 资源的访问权限。

创建自定义限制条件

您可以使用 YAML 文件来定义受限制条件约束的资源、方法、条件和操作，从而创建自定义限制条件。这些参数特定于您要强制执行组织政策的服务。自定义限制条件的条件必须使用通用表达式语言进行定义。请参阅 GitHub 页面，了解通用表达式语言 (CEL)。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。

使用以下模板为自定义限制条件创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- redis.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

ORGANIZATION_ID：您的组织 ID，例如 123456789。
CONSTRAINT_NAME：新的自定义限制条件的名称。自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.restrictInstanceToOnereplica。该字段的长度上限为 70 个字符，不计算前缀（例如 organizations/123456789/customConstraints/custom.allowConstraint）。
RESOURCE_NAME：包含对象和字段的 Memorystore for Redis 资源您希望限制哪些对象。例如 Instance。
CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。例如 "resource.replicaCount >= 2"。
ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。
DISPLAY_NAME：限制条件的直观易记名称。此字段的最大长度为 200 个字符。
DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。此字段的长度上限为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅创建和管理自定义组织政策。

设置自定义限制条件

为新的自定义限制条件创建 YAML 文件后，您必须设置该文件可用于贵组织的组织政策如需设置自定义限制条件，请使用 gcloud org-policies set-custom-constraint 命令：

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

将 CONSTRAINT_PATH 替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml。完成后，您的自定义限制条件将作为组织政策显示在 Google Cloud 组织政策列表中。如需验证自定义限制条件是否存在，请使用 gcloud org-policies list-custom-constraints 命令：

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

将 ORGANIZATION_ID 替换为您的组织资源的 ID。如需了解详情，请参阅查看组织政策。

强制执行自定义组织政策

您可以通过创建引用布尔值限制条件的组织政策来强制执行布尔值限制条件，并且然后将该组织政策应用于 Google Cloud 资源。

控制台

在 Google Cloud 控制台中，转到组织政策页面。
转到“组织政策”
在项目选择器中，选择要设置组织政策的项目。
从组织政策页面的列表中选择限制条件，以查看该限制条件的政策详情页面。
如需为该资源配置组织政策，请点击管理政策。
在修改政策页面，选择覆盖父级政策。
点击添加规则。
在强制执行部分中，选择开启还是关闭此组织政策的强制执行。
可选：要根据标记设置有条件的组织政策，请点击 添加条件。请注意，如果您向组织政策添加条件规则，则必须至少添加一个无条件规则，否则无法保存政策。如需了解详情，请参阅使用标记设置组织政策。
如果是自定义限制条件，您可以点击测试更改来模拟此组织政策的效果。如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。
若要完成并应用组织政策，请点击设置政策。该政策最多需要 15 分钟才能生效。

gcloud

如需创建强制执行布尔值限制条件的组织政策，请创建引用该限制条件的 YAML 政策文件：

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

请替换以下内容：

PROJECT_ID：要对其实施限制条件的项目。
CONSTRAINT_NAME：您为自定义限制条件定义的名称。例如，custom.restrictInstanceToOnereplica。

如需强制执行包含限制条件的组织政策，请运行以下命令：

    gcloud org-policies set-policy POLICY_PATH

将 POLICY_PATH 替换为组织政策 YAML 文件的完整路径。该政策最多需要 15 分钟才能生效。

测试自定义限制条件

如需测试自定义限制条件，请运行尝试创建 Redis 实例的 gcloud 命令。

例如，假设某个约束条件要求 Redis 实例不得有多个副本。您可以通过运行将 replica-count 设置为 2 的 gcloud redis instances create 命令来测试此限制条件，如以下代码段所示：

gcloud redis instances create redis-test-instance \
    --project=my-project \
    --tier=standard \
    --size=16 \
    --region=us-central1 \
    --redis-version=redis_7_0 \
    --network=projects/my-project/global/networks/default \
    --connect-mode=PRIVATE_SERVICE_ACCESS \
    --read-replicas-mode=READ_REPLICAS_ENABLED \
    --replica-count=2

输出类似于以下内容：

Operation denied by custom org policies: ["customConstraints/custom.restrictInstanceToOnereplica": "Prevent users from creating Redis instances with more than one replica"]

Memorystore for Redis 支持的资源和操作

在创建或更新 Memorystore for Redis 资源时，您可以使用以下 Memorystore for Redis 自定义约束条件字段。

Memorystore for Redis 实例
- resource.alternativeLocationId
- resource.authEnabled
- resource.authorizedNetwork
- resource.availableMaintenanceVersions
- resource.connectMode
- resource.customerManagedKey
- resource.displayName
- resource.locationId
- resource.maintenancePolicy.description
- resource.maintenancePolicy.weeklyMaintenanceWindow.day
- resource.maintenanceVersion
- resource.memorySizeGb
- resource.name
- resource.persistenceConfig.persistenceMode
- resource.persistenceConfig.rdbSnapshotPeriod
- resource.persistenceConfig.rdbSnapshotStartTime
- resource.readReplicasMode
- resource.redisConfigs
- resource.redisVersion
- resource.replicaCount
- resource.reservedIpRange
- resource.secondaryIpRange
- resource.suspensionReasons
- resource.tier
- resource.transitEncryptionMode

自定义限制条件示例

下表提供了一个自定义限制条件示例，它将 Redis 实例限制为一个副本：

说明	限制条件语法
限制 Redis 实例具有一个副本	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.restrictInstanceToOnereplica resourceTypes: - redis.googleapis.com/Instance methodTypes: - CREATE - UPDATE condition: "resource.replicaCount >= 2" actionType: DENY displayName: Restrict Redis instances to one replica description: Prevent users from creating Redis instances with more than one replica

说明

限制条件语法

限制 Redis 实例具有一个副本

    name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictInstanceToOnereplica
    resourceTypes:
    - redis.googleapis.com/Instance
    methodTypes:
    - CREATE
    - UPDATE
    condition: "resource.replicaCount >= 2"
    actionType: DENY
    displayName: Restrict Redis instances to one replica
    description: Prevent users from creating Redis instances with more than one replica

后续步骤

查看组织政策服务简介，以详细了解组织政策。
详细了解如何创建和管理组织政策。
查看预定义组织政策限制条件的完整列表。