Creazione e gestione di criteri dell'organizzazione personalizzati

I criteri dell'organizzazione di Google Cloud offrono pubblicità programmatica e centralizzata un controllo completo sulle risorse dell'organizzazione. Come amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, un insieme di restrizioni denominate vincoli che si applicano le risorse Google Cloud e i discendenti di queste risorse nel Gerarchia delle risorse di Google Cloud. Puoi applicare i criteri dell'organizzazione all'indirizzo a livello di organizzazione, cartella o progetto.

I criteri dell'organizzazione forniscono vincoli predefiniti per vari servizi Google Cloud. Tuttavia, se vuoi avere un maggiore controllo sulle tue criteri dell'organizzazione, puoi crearne di personalizzati.

Questa pagina descrive come visualizzare, creare e gestire l'organizzazione personalizzata criteri. I criteri dell'organizzazione personalizzati vengono creati dagli amministratori per fornire più granulare e personalizzabile sui campi specifici limitato dai criteri dell'organizzazione.

Prima di iniziare

Per ulteriori informazioni sui criteri e i vincoli dell'organizzazione come funzionano, consulta le Introduzione al servizio Criteri dell'organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti Ruolo IAM Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire i criteri dell'organizzazione. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire i criteri dell'organizzazione sono necessarie le seguenti autorizzazioni:

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati e altri ruoli predefiniti.

Vincoli personalizzati

Viene creato un vincolo personalizzato in un file YAML che specifica le risorse, i metodi, le condizioni e le azioni soggetti al vincolo. Si tratta di e specifici del servizio su cui applichi il criterio dell'organizzazione. La le condizioni per il vincolo personalizzato vengono definite utilizzando l'espressione comune Lingua (CEL).

Configura un vincolo personalizzato

Puoi creare un vincolo personalizzato e configurarlo per l'utilizzo nell'organizzazione utilizzando la console Google Cloud o Google Cloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per impostare il criterio dell'organizzazione.

  4. Fai clic su Vincolo personalizzato.

  5. Nella casella Nome visualizzato, inserisci un nome semplice per la di blocco. Questo campo ha una lunghezza massima di 200 caratteri. Non utilizzare PII o dati sensibili nei nomi visualizzati, in quanto essere esposte nei messaggi di errore.

  6. Nella casella ID vincolo, inserisci il nome per il nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom.. Non includere PII o dati sensibili nell'ID vincolo, perché potrebbero essere esposti nei messaggi di errore.

  7. Nella casella Descrizione, inserisci una descrizione semplice per il del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri. Non includere PII o dati sensibili nella descrizione, potrebbero essere esposti nei messaggi di errore.

  8. Nella casella Tipo di risorsa, seleziona il nome di Google Cloud Risorsa REST contenente l'oggetto e il campo da limitare, per ad esempio container.googleapis.com/NodePool. È consentito un massimo di 20 e vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.

  9. In Metodo di applicazione, scegli se applicare il vincolo su un metodo REST CREATE o entrambi i metodi CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. Per vedere i servizi supportati per ogni servizio, trova il servizio in Servizi supportati.

  10. Per definire una condizione, fai clic su Modifica condizione:

    1. Nel riquadro Aggiungi condizione, crea una condizione CEL che faccia riferimento a una di risorse di servizio supportate, resource.management.autoUpgrade == false. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per ulteriori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.

    2. Fai clic su Salva.

  11. In Azione, scegli se consentire o negare il metodo valutato se la condizione di cui sopra è soddisfatta.

    L'azione di negazione significa che l'operazione per creare o aggiornare la risorsa viene bloccato se la condizione restituisce true.

    L'azione allow significa che l'operazione per creare o aggiornare è consentita solo se la condizione è true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.

  12. Fai clic su Crea vincolo.

Dopo aver inserito un valore in ciascun campo, il codice YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.

gcloud

Per creare un vincolo personalizzato utilizzando Google Cloud CLI, crea un file YAML per il vincolo personalizzato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom..

  • RESOURCE_NAME: il nome completo del Risorsa REST Google Cloud contenente l'oggetto e il campo da restrict. Ad esempio, container.googleapis.com/NodePool. Esiste un limite massimo di 20 vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, non va a buon fine. Per ulteriori informazioni sulle risorse di servizio che puoi usare, nei vincoli personalizzati, vedi Servizi supportati da vincoli personalizzati.

  • METHOD1,METHOD2: un elenco di Metodi RESTful per cui applicare il vincolo. Può essere CREATE o CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.

  • CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate, "resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.

  • ACTION: l'azione da eseguire se condition è sono soddisfatte determinate condizioni. Può essere ALLOW o DENY.

    L'azione di negazione significa che se la condizione restituisce true, per creare o aggiornare la risorsa è bloccata.

    L'azione allow significa che se la condizione restituisce true, l'operazione per creare o aggiornare la risorsa è consentita. Anche questo significa che ogni altro caso eccetto quello esplicitamente elencato nel è bloccata.

  • DISPLAY_NAME: un nome semplice per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato un nuovo vincolo personalizzato utilizzando Google Cloud CLI, devi configurarlo per disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 

gcloud org-policies set-custom-constraint CONSTRAINT_PATH
Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, vedi Visualizzazione dei criteri dell'organizzazione.

Aggiorna un vincolo personalizzato

Puoi aggiornare un vincolo personalizzato modificandolo nella nella console Google Cloud oppure creando un nuovo file YAML e utilizzando set-custom-constraint di nuovo il comando gcloud CLI. Non sono presenti il controllo delle versioni dei vincoli personalizzati, in modo da sovrascrivere lo stato personalizzato esistente di blocco. Se il vincolo personalizzato è già applicato, il valore il vincolo viene applicato immediatamente.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per aggiornare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi modificare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.

  5. Fai clic su Modifica vincolo.

  6. Apporta modifiche a nome visualizzato, descrizione, metodo di applicazione condizione e azione. Non puoi modificare l'ID vincolo o la risorsa una volta creato il vincolo.

  7. Fai clic su Salva modifiche.

gcloud

Per modificare un vincolo personalizzato esistente utilizzando Google Cloud CLI, crea un nuovo YAML contenente le modifiche da apportare:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom..

  • RESOURCE_NAME: il nome completo del Risorsa REST Google Cloud contenente l'oggetto e il campo da restrict. Ad esempio, container.googleapis.com/NodePool. Per ulteriori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.

  • METHOD1,METHOD2: un elenco di Metodi RESTful per cui applicare il vincolo. Può essere CREATE o CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.

  • CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate, "resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.

  • ACTION: l'azione da eseguire se condition è sono soddisfatte determinate condizioni. Può essere ALLOW o DENY.

  • DISPLAY_NAME: un nome semplice per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato un nuovo vincolo personalizzato utilizzando Google Cloud CLI, devi configurarlo per disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 

gcloud org-policies set-custom-constraint CONSTRAINT_PATH
Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, vedi Visualizzazione dei criteri dell'organizzazione.

Elimina un vincolo personalizzato

Puoi eliminare un vincolo personalizzato utilizzando la console Google Cloud o Google Cloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per eliminare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.

  5. Fai clic su Elimina.

  6. Per confermare di voler eliminare il vincolo, fai clic su Elimina.

gcloud

Per eliminare un vincolo personalizzato, utilizza org-policies delete-custom-constraint Comando gcloud CLI:

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome della tua personalizzata di blocco. Ad esempio, custom.disableGkeAutoUpgrade.

L'output è simile al seguente:

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

Se elimini un vincolo personalizzato, tutti i criteri creati utilizzando il vincolo continua a esistere, ma viene ignorato. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.

Testa e analizza le modifiche ai criteri dell'organizzazione

Ti consigliamo di testare ed eseguire il dry run di tutte le modifiche aziendali, per comprendere meglio lo stato dell'ambiente impatto delle modifiche.

Policy Simulator per i criteri dell'organizzazione ti aiuta a comprendere l'effetto di un un vincolo e il criterio dell'organizzazione nel tuo ambiente attuale. Con questo strumento, puoi rivedere tutte le configurazioni delle risorse per vedere dove si verificano le violazioni, prima in modo che venga applicata nell'ambiente di produzione. Per istruzioni dettagliate, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.

Quando comprendi l'effetto attuale, puoi creare un criterio dell'organizzazione. in modalità dry run per comprendere l'impatto e le potenziali violazioni di un criterio nei prossimi 30 giorni. Un criterio dell'organizzazione in modalità dry run è un tipo criterio dell'organizzazione in cui le violazioni dei criteri vengono registrate, ma le azioni che violano le norme non vengono rifiutate. Puoi creare un criterio dell'organizzazione in modalità dry run da un vincolo personalizzato utilizzando la console Google Cloud oppure Google Cloud CLI. Per istruzioni dettagliate, vedi Crea un criterio dell'organizzazione in modalità di prova.

Applica un criterio dell'organizzazione personalizzato

Una volta configurato, un vincolo personalizzato funziona in modo identico boolean constraints. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se qualcuno dell'organizzazione personalizzata se la richiesta viene rifiutata, la richiesta viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. applicando il criterio dell'organizzazione a una risorsa Google Cloud.

Console

Per applicare un vincolo booleano:

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.
  3. Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
  4. Seleziona il vincolo dall'elenco nella pagina Criteri dell'organizzazione. Dovrebbe essere visualizzata la pagina Dettagli criterio per il vincolo in questione.
  5. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
  6. Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
  7. Fai clic su Aggiungi una regola.
  8. In Applicazione, scegli se applicare questo criterio dell'organizzazione deve essere attivato o disattivato.
  9. Se vuoi, per applicare le condizioni del criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per ulteriori informazioni i dettagli, vedi Impostazione di un criterio dell'organizzazione con i tag.
  10. Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
  11. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. Le norme potrebbero essere necessari fino a 15 minuti.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

  • PROJECT_ID: il progetto su cui vuoi applicare in modo forzato i tuoi di blocco.
  • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Per ad esempio custom.disableGkeAutoUpgrade.

Per applicare il criterio dell'organizzazione contenente il vincolo, esegui questo comando: 

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del criterio dell'organizzazione YAML. L'applicazione del criterio richiederà fino a 15 minuti.

Vincolo di esempio

Puoi definire vincoli personalizzati simili ai vincoli predefiniti forniti realizzati da Google. Un tipico file YAML di vincolo personalizzato ha il seguente aspetto:

name: organizations/1234567890123/customConstraints/custom.disableGkeAutoUpgrade
resourceTypes:
- container.googleapis.com/NodePool
methodTypes:
- CREATE
- UPDATE
condition: "resource.management.autoUpgrade == false"
actionType: ALLOW
displayName: Disable GKE auto upgrade
description: Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced.

Common Expression Language

Il servizio Criteri dell'organizzazione utilizza il Common Expression Language (CEL) per valutare le condizioni dei vincoli personalizzati. Il linguaggio CEL è una piattaforma open source non Turing un linguaggio completo che implementa la semantica comune per la valutazione delle espressioni.

Ogni servizio che supporta vincoli personalizzati crea un particolare insieme e i campi di queste risorse disponibili. I campi disponibili sono fortemente digitati e possono essere utilizzati direttamente come riferimento da vincoli personalizzati.

Puoi creare condizioni CEL che fanno riferimento ai campi delle risorse di servizio in base il tipo di campo. Il servizio Criteri dell'organizzazione supporta un sottoinsieme di tipi di dati CEL, espressioni e macro. Le sezioni seguenti elencano i tipi di dati disponibili e le espressioni e le macro più comuni che funzionano con esse.

Per maggiori dettagli sulle espressioni e le macro disponibili per ciascun servizio, vedi Servizi supportati da vincoli personalizzati.

L'esempio JSON seguente mostra ognuna delle potenziali tipi di campi a cui puoi fare riferimento usando vincoli personalizzati:

{
  integerValue: 1
  stringValue: "A text string"
  booleanValue: true
  nestedValue: {
    nestedStringValue: "Another text string"
  }
  listValue: [foo, bar]
  mapValue["costCenter"] == "123"
}

Per ogni espressione CEL, il vincolo personalizzato viene applicato quando la condizione restituisce true. Puoi combinare espressioni con (&&) e/o (||) per creare una query complessa. Quando crei il file YAML o JSON per i tuoi , racchiudi la query completa tra virgolette doppie (").

Numero intero

I campi interi, come integerValue nell'esempio precedente, consentono operatori di confronto da utilizzare nelle condizioni. Ad esempio:

resource.integerValue == 1
resource.integerValue > 5
resource.integerValue < 10

Stringa

È possibile valutare campi stringa come stringValue nell'esempio precedente utilizzando un valore letterale stringa, un'espressione regolare o un'espressione CEL. Ad esempio:

resource.stringValue == "abc"
// stringValue is exactly "abc".

resource.stringValue.matches("dev$")
// stringValue matches a regular expression, which specifies the string ends
// with the word "dev".

resource.stringValue.startsWith("startValue")
// stringValue starts with "startValue".

resource.stringValue.endsWith("endValue")
// stringValue ends with "endValue".

resource.stringValue.contains("fooBar")
// stringValue contains "fooBar".

I campi nidificati, come nestedStringValue nell'esempio precedente, devono essere a cui viene fatto riferimento con il percorso completo. Ad esempio:

resource.nestedValue.nestedStringValue == "foo"
// nestedValue contains the object nestedStringValue, which has a value of "foo".

Booleano

I campi booleani, come booleanValue nell'esempio precedente, contengono un valore che può essere true o false.

Elenco

È possibile valutare i campi dell'elenco, come listValue nell'esempio precedente in base alle dimensioni e ai contenuti dell'elenco e se un particolare elenco esiste in qualsiasi punto dell'elenco.

Ad esempio:

resource.listValue.size() >= 1 && resource.listValue[0] == "bar"
// listValue has size greater than or equal to one, and the first element is "bar".

resource.listValue.exists(value, value == "foo")
// listValue has at least one element that is exactly "foo".

resource.listValue.all(value, value.contains("foo"))
// listValue is a list of values that are all exactly "foo".

Mappa

I campi mappa, come mapValue nell'esempio in alto, sono coppie chiave/valore che possono essere valutate in base all'esistenza e al valore di particolari elementi.

Ad esempio:

has(resource.mapValue.foo) && resource.mapValue.foo == "bar"
// mapValue contains the key "foo", and that key has the value "bar".

Risoluzione degli errori CEL

Una condizione creata con espressioni non valide o tipi di corrispondenza non corrispondenti restituisce un errore quando tenti di configurare il vincolo personalizzato. Ad esempio, dato il seguente vincolo personalizzato non valido, che confronta una stringa con numero intero:

name: organizations/1234567890123/customConstraints/custom.badConfig
resourceTypes:
- dataproc.googleapis.com/Cluster
methodTypes:
- CREATE
- UPDATE
condition: "resource.config.masterConfig.numInstances == 'mismatch'"
actionType: ALLOW
displayName: Number of instances is a string
description: Demonstrate that type mismatches cause an error.

Viene generato un errore se provi a configurare il vincolo utilizzando Google Cloud CLI:

ERROR: (gcloud.org-policies.set-custom-constraint) INVALID_ARGUMENT: Custom constraint condition [resource.config.masterConfig.numInstances == "mismatch"] is invalid. Error: ERROR: <input>:1:15: found no matching overload for '_==_' applied to '(int, string)' (candidates: (%A0, %A0))
 | resource.config.masterConfig.numInstances == "mismatch"
 | ..........................................^.

Nella console Google Cloud, gli errori di sintassi CEL non validi saranno segnalati con un Icona Errore. Evidenziazione di questa icona mostra una descrizione comando contenente ulteriori informazioni sull'errore di sintassi.

Il Servizio criteri dell'organizzazione compila e convalida le condizioni che crei, restituendo un se la condizione non è sintatticamente corretta. Tuttavia, ci sono alcune condizioni che si compilano, ma genera un errore quando Google Cloud tenta di per applicare i vincoli. Ad esempio, se configuri un vincolo con un che tenta di accedere a un indice elenco o a una chiave della mappa inesistente, il vincolo non riesce e restituisce un errore al momento dell'applicazione e blocca a qualsiasi tentativo di creare la risorsa.

Quando crei condizioni che dipendono da elementi di elenco o mappa, ti consigliamo inizia la condizione con un controllo che ne garantisca la validità in tutte d'uso diversi. Ad esempio, controlla list.size() prima di fare riferimento a un determinato elenco o utilizza has() prima di fare riferimento a un elemento della mappa.

Servizi supportati

Ogni servizio definisce l'insieme di campi di vincoli personalizzati che possono essere utilizzati per applicare criteri dell'organizzazione alle risorse di servizio. Per un elenco di servizi che supportano vincoli personalizzati, vedi Servizi supportati da vincoli personalizzati.

Per saperne di più sulla configurazione di uno scanner dei criteri dell'organizzazione, consulta Risultati relativi alle vulnerabilità dei criteri dell'organizzazione.

Passaggi successivi