Restringir el uso de Cloud Interconnect

En este documento se describe cómo restringir el conjunto de redes de nube privada virtual (VPC) que pueden usar Cloud Interconnect.

De forma predeterminada, cualquier red de VPC puede usar Cloud Interconnect. Para controlar qué redes de VPC pueden usar Cloud Interconnect, puedes definir una política de organización. Para obtener información general sobre las políticas de organización, consulta el artículo Introducción al servicio de políticas de organización.

Para conectar una red de VPC a tu red on-premise mediante Cloud Interconnect, necesitas una vinculación de VLAN. Una política de organización para restringir el uso de Cloud Interconnect permite o deniega la creación de vinculaciones de VLAN desde redes de VPC especificadas. Puedes definir una política que permita o deniegue la creación de vinculaciones de VLAN desde una red de VPC específica o desde todas las redes de VPC de un proyecto, una carpeta o un recurso de organización.

Puede usar las siguientes restricciones al definir su política:

  • constraints/compute.restrictDedicatedInterconnectUsage

    Esta restricción define el conjunto de redes VPC que puedes usar al crear una vinculación de VLAN con una interconexión dedicada.

  • constraints/compute.restrictPartnerInterconnectUsage

    Esta restricción define el conjunto de redes de VPC que puedes usar al crear una conexión VLAN con Partner Interconnect.

Cuando defines una política de organización, solo se restringe la creación de conexiones VLAN en el futuro. La política no afecta a los adjuntos de VLAN creados anteriormente.

Si un usuario intenta crear una vinculación de VLAN que infringe una política de la organización, verá un mensaje de error. A continuación, se muestra un ejemplo de mensaje de error al ejecutar gcloud compute interconnects attachments partner create:

ERROR: (gcloud.compute.interconnects.attachments.partner.create) Could not fetch resource:
- Constraint constraints/compute.restrictPartnerInterconnectUsage violated for projects/example-project.
projects/example-project/global/networks/example-network is not allowed to use the Partner Interconnect.

En esta página se incluyen procedimientos de ejemplo para definir políticas de organización que restrinjan el uso de Cloud Interconnect.

Para obtener más información, incluidos los procedimientos generales para definir políticas de la organización, consulta los siguientes artículos:

Antes de empezar

Para definir políticas de organización, debes tener el rol Administrador de políticas de organización (roles/orgpolicy.policyAdmin).

Definir una política para denegar una red VPC específica

Para definir una política que impida que una red de VPC específica use Cloud Interconnect, sigue estos pasos:

  1. Para encontrar el ID de tu organización, introduce el siguiente comando:

    gcloud organizations list

    El resultado del comando es similar al siguiente ejemplo:

    DISPLAY NAME             ID
example-organization     29252605212

  2. Crea un archivo JSON que defina tu política. En el siguiente ejemplo de archivo JSON se define una política que impide que network-1 en project-1 use la interconexión dedicada:

    {
  "Constraint": "constraints/compute.restrictDedicatedInterconnectUsage",
  "listPolicy": {
    "deniedValues": [
      "projects/project-1/global/networks/network-1"
   ]
  }
}

  3. Usa el comando gcloud Resource Manager set-policy para definir la política de la organización:

    gcloud resource-manager org-policies set-policy JSON_FILE_NAME
   --organization=ORGANIZATION_ID

    Haz los cambios siguientes:

    • JSON_FILE_NAME: el nombre del archivo JSON que has creado en el paso anterior, como policy-name.json

    • ORGANIZATION_ID: el ID de la organización que has encontrado anteriormente

Definir una política para denegar todas las redes de VPC

Para definir una política que deniegue el uso de Cloud Interconnect a todas las redes de VPC, sigue estos pasos:

  1. Para encontrar el ID de tu organización, introduce el siguiente comando:

    gcloud organizations list

    El resultado del comando es similar al siguiente ejemplo:

    DISPLAY NAME             ID
example-organization     29252605212

  2. Crea un archivo JSON que defina tu política. En el siguiente ejemplo de archivo JSON se define una política que impide que todas las redes VPC usen Interconexión dedicada:

    {
  "Constraint": "constraints/compute.restrictDedicatedInterconnectUsage",
  "listPolicy": {
    "allValues": "DENY"
   }
}

  3. Usa el comando gcloud Resource Manager set-policy para definir la política de la organización:

    gcloud resource-manager org-policies set-policy JSON_FILE_NAME
   --organization=ORGANIZATION_ID

    Haz los cambios siguientes:

    • JSON_FILE_NAME: el nombre del archivo JSON que has creado en el paso anterior, como policy-name.json

    • ORGANIZATION_ID: el ID de la organización que has encontrado anteriormente

Definir una política a nivel de organización, carpeta o proyecto

En las secciones anteriores se describe cómo denegar una red de VPC específica o todas las redes de VPC. También puedes usar la sintaxis descrita en Restricciones de lista para permitir o denegar redes de VPC a nivel de organización, proyecto o carpeta.

Siguientes pasos