Nesta página, mostramos como usar uma política da organização no modo de simulação para monitorar como uma alteração de política afetaria os fluxos de trabalho antes da aplicação.
Uma política da organização no modo de teste é criada e aplicada de maneira semelhante a outras políticas da organização, e as violações da política são registradas de auditoria, mas as ações violadas não são negadas.
Antes de começar
Para usar uma política da organização no modo de teste, ative o faturamento para seu projeto do Google Cloud. Para saber se o faturamento está ativado em um projeto, consulte Verificar o status de faturamento dos seus projetos.
Para mais informações sobre o que são as políticas e restrições da organização e como elas funcionam, consulte Introdução ao serviço de política da organização.
Funções exigidas
Para receber as permissões necessárias a fim de gerenciar as políticas da organização,
peça ao administrador para conceder a você o
papel do IAM de administrador de políticas da organização (roles/orgpolicy.policyAdmin
) na organização.
Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.
Esse papel predefinido contém as permissões necessárias para gerenciar as políticas da organização. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:
Permissões necessárias
As permissões a seguir são necessárias para gerenciar as políticas da organização:
-
orgpolicy.constraints.list
-
orgpolicy.policies.create
-
orgpolicy.policies.delete
-
orgpolicy.policies.list
-
orgpolicy.policies.update
-
orgpolicy.policy.get
-
orgpolicy.policy.set
Talvez você também consiga receber essas permissões com papéis personalizados ou outros papéis predefinidos.
Limitações
As únicas restrições de política da organização disponíveis para serem usadas em políticas de simulação são:
A tentativa de criar uma política da organização no modo de teste usando qualquer outra restrição resulta em erro.
Criar uma política da organização no modo de teste
Restrições de lista
É possível criar uma política da organização no modo de simulação para uma restrição de lista
usando o console do Google Cloud ou a Google Cloud CLI. Os exemplos a seguir
demonstram como criar uma política da organização no modo de simulação que audita o
efeito da restrição da lista gcp.restrictServiceUsage
.
Console
No console do Google Cloud, acesse a página Políticas da organização.
No seletor de projeto, escolha o recurso para o qual você quer definir a política da organização.
Selecione a restrição Restringir o uso do serviço de recursos na lista da página Políticas da organização.
Selecione a guia Simulação.
Clique em Gerenciar política de simulação.
Na página Editar política de simulação, selecione Substituir a política da principal.
Em Aplicação da política, clique em Substituir.
Clique em Adicionar regra.
Em Valores da política, selecione Personalizado.
Em Tipo de política, selecione Negar.
Na caixa Valores personalizados, digite
compute.googleapis.com
e clique em Concluído.Se essa for uma restrição personalizada, clique em Testar alterações para simular o efeito dessa política da organização. Para mais informações, consulte Testar alterações na política da organização com o Simulador de política.
Para aplicar a política da organização no modo de simulação, clique em Definir política de simulação. Você também pode definir a política ativa clicando em Definir política.
É possível verificar o status da política da organização no modo de teste acessando a guia Simulação de uma restrição da política da organização.
Para projetos com uma política da organização no modo de simulação
aplicada, clique em Visualizar registros de rejeição para conferir os registros de auditoria. Para
esta política da organização, os registros de auditoria exibem violações como se a
restrição Restringir o uso do serviço de recursos fosse aplicada para negar
compute.googleapis.com
.
gcloud
Para criar uma política da organização no modo de simulação, crie um arquivo YAML que
defina a restrição com dryRunSpec
. Exemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage dryRunSpec: rules: - values: denied_values: - compute.googleapis.com
Substitua:
RESOURCE_TYPE
comorganizations
,folders
ouprojects
.RESOURCE_ID
pelo ID da organização, ID da pasta, ID do projeto ou número do projeto, dependendo do tipo de recurso especificado emRESOURCE_TYPE
.
Essa política da organização não vai aplicar a restrição gcp.restrictServiceUsage
, mas os registros de auditoria exibem violações como se tivessem sido.
É possível definir uma política da organização ativa e uma política da organização de simulação
no mesmo arquivo YAML, se você definir spec
e dryRunSpec
. Exemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage spec: rules: - values: allowedValues: - container.googleapis.com dryRunSpec: rules: - values: allowedValues: - compute.googleapis.com - appengine.googleapis.com
Para aplicar uma política da organização no modo de teste, use o
comando org-policies set policy
. Para atualizar uma política da organização
no modo de simulação com novas restrições, use a sinalização --update-mask
. Exemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=UPDATE_MASK
Substitua:
POLICY_PATH
pelo caminho completo para o arquivo YAML da política da organização.UPDATE_MASK
comspec
para atualizar apenas a política ativa oudryRunSpec
para atualizar apenas a política da organização no modo de simulação. Você também pode usar*
para atualizar os camposspec
edryRunSpec
. Se esse campo não for definido durante a atualização de uma política da organização atual, o comando resultará em um erro e a política não será atualizada.
É possível verificar se a política da organização no modo de simulação está definida usando
o comando org-policies describe
. O campo dryRunSpec
aparecerá somente se existir na política da organização.
A política da organização acima aplicaria a restrição gcp.restrictServiceUsage
,
de modo que apenas container.googleapis.com
fosse permitido. No entanto,
os registros de auditoria também exibem violações de compute.googleapis.com
e
appengine.googleapis.com
.
Restrições booleanas
É possível criar uma política da organização no modo de simulação para uma restrição booleana usando o console do Google Cloud ou a Google Cloud CLI. Os exemplos a seguir demonstram como criar uma política da organização no modo de simulação que audita o efeito de uma política da organização personalizada booleana.
Console
No console do Google Cloud, acesse a página Políticas da organização.
No seletor de projeto, escolha o recurso para o qual você quer definir a política da organização.
Selecione a política da organização personalizada que você quer aplicar na lista da página Políticas da organização.
Selecione a guia Simulação.
Clique em Gerenciar política de simulação.
Na página Editar política de simulação, selecione Substituir a política da principal.
Clique em Adicionar regra.
Em Aplicação, selecione Ativada e clique em Concluído.
Para aplicar a política da organização no modo de simulação, clique em Definir política de simulação. Depois de verificar se a política da organização no modo de simulação funciona conforme o esperado, defina a política ativa clicando em Definir política.
É possível verificar o status da política da organização no modo de teste acessando a guia Simulação de uma restrição da política da organização.
Para projetos com uma política da organização no modo de simulação aplicada, clique em Visualizar registros de rejeição para conferir os registros de auditoria. Para essa política da organização, os registros de auditoria exibem violações como se a política da organização personalizada fosse aplicada.
gcloud
Para criar uma política da organização no modo de simulação, crie um arquivo YAML que
defina a restrição com dryRunSpec
. Exemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME dryRunSpec: rules: - enforce: true
Substitua:
RESOURCE_TYPE
comorganizations
,folders
ouprojects
.RESOURCE_ID
pelo ID da organização, ID da pasta, ID do projeto ou número do projeto, dependendo do tipo de recurso especificado emRESOURCE_TYPE
.CONSTRAINT_NAME
pelo nome da restrição personalizada. Por exemplo,custom.disableGkeAutoUpgrade
.
Essa política da organização não aplicará a restrição personalizada, mas os registros de auditoria exibem violações como se houvesse.
É possível definir uma política da organização ativa e uma política da organização no modo de simulação no mesmo arquivo YAML, se você definir spec
e dryRunSpec
. Exemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: false dryRunSpec: rules: - enforce: true
Para aplicar uma política da organização no modo de teste, use o
comando org-policies set policy
. Para atualizar uma política da organização
no modo de simulação com novas restrições, use a sinalização --update-mask
. Exemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=UPDATE_MASK
Substitua:
POLICY_PATH
pelo caminho completo para o arquivo YAML da política da organização.UPDATE_MASK
comspec
para atualizar apenas a política ativa oudryRunSpec
para atualizar apenas a política da organização no modo de simulação. Você também pode usar*
para atualizar os camposspec
edryRunSpec
. Se esse campo não for definido durante a atualização de uma política da organização atual, o comando resultará em um erro e a política não será atualizada.
É possível verificar se uma política da organização no modo de simulação está definida usando
o comando org-policies describe
. O campo dryRunSpec
aparecerá somente se existir na política da organização.
Esta política da organização não aplica a restrição personalizada. No entanto, os registros de auditoria exibem violações da restrição personalizada.
Criar uma política da organização no modo de teste a partir de uma política ativa
É possível usar uma política da organização atual como ponto de partida para uma política da organização no modo de simulação. Faça isso para saber o que uma alteração na política teria no seu ambiente.
É possível criar uma política da organização no modo de simulação com base em uma política atual usando o console do Google Cloud ou a Google Cloud CLI.
Console
No console do Google Cloud, acesse a página Políticas da organização.
No seletor de projeto, escolha um recurso que já tenha a restrição Restringir o uso do serviço de recursos configurada.
Selecione a restrição Restringir o uso do serviço de recursos na lista da página Políticas da organização.
Selecione a guia Ao vivo.
Clique em Gerenciar política.
Clique em Adicionar regra.
Em Valores da política, selecione Personalizado.
Em Tipo de política, selecione Negar.
Na caixa Valores personalizados, insira
appengine.googleapis.com
.Clique em Concluído e em Definir política de simulação.
gcloud
Para criar uma política da organização no modo de simulação com base em uma política da organização
ativa atual, receba a política atual no recurso usando o
comando org-policies describe
. Exemplo:
gcloud org-policies describe gcp.restrictServiceUsage \ --project=PROJECT_ID
Substitua PROJECT_ID
pelo ID do projeto ou pelo número
do projeto em que essa política da organização está configurada.
A saída será parecida com esta:
name: projects/123456789012/policies/gcp.restrictServiceUsage spec: etag: CJy93KEGEKCJw/QB rules: - values: allowedValues: - compute.googleapis.com updateTime: '2023-04-12T21:11:56.512804Z'
Copie a resposta a esse comando em um arquivo temporário. Edite esse arquivo para remover os campos etag
e updateTime
e altere o campo spec
para dryRunSpec
. Faça as alterações na configuração de restrição que
você quer testar na política da organização no modo de simulação.
O arquivo YAML concluído será semelhante a este:
name: projects/123456789012/policies/gcp.restrictServiceUsage dryRunSpec: rules: - values: allowedValues: - compute.googleapis.com - appengine.googleapis.com
Para aplicar a política da organização no modo de simulação, use o
org-policies set policy
com a sinalização --update-mask
. Exemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=dryRunSpec
Substitua POLICY_PATH
pelo caminho completo do
arquivo YAML temporário da política da organização.
Excluir uma política da organização no modo de teste
É possível excluir uma política da organização no modo de simulação usando o console do Google Cloud ou a Google Cloud CLI.
Console
No console do Google Cloud, acesse a página Políticas da organização.
No seletor de projeto, escolha o recurso para o qual você quer definir a política da organização.
Selecione a restrição Restringir o uso do serviço de recursos na lista da página Políticas da organização.
Selecione a guia Simulação.
Clique em Excluir política de simulação.
gcloud
Para excluir uma política da organização no modo de teste, crie um arquivo YAML que defina a política da organização sem uma especificação de simulação. Exemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage spec: rules: - values: allowedValues: - container.googleapis.com
Substitua:
RESOURCE_TYPE
comorganizations
,folders
ouprojects
.RESOURCE_ID
pelo ID da organização, ID da pasta, ID do projeto ou número do projeto, dependendo do tipo de recurso especificado emRESOURCE_TYPE
.
Em seguida, use o comando org-policies set policy
com a sinalização --update-mask
definida como dryRunSpec
. Exemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=dryRunSpec
Isso atualiza a política da organização existente para remover a especificação de simulação e ignora a parte ativa da especificação.
Para excluir as políticas da organização ativas e as políticas da organização no modo de simulação ao mesmo tempo, use o comando org-policies delete
. Exemplo:
gcloud org-policies delete CONSTRAINT_NAME \ --RESOURCE_TYPE=RESOURCE_ID
Substitua:
CONSTRAINT_NAME
pelo nome da restrição que você quer excluir. Por exemplo,gcp.restrictServiceUsage
.RESOURCE_TYPE
comorganizations
,folders
ouprojects
.RESOURCE_ID
pelo ID da organização, ID da pasta, ID do projeto ou número do projeto, dependendo do tipo de recurso especificado emRESOURCE_TYPE
.
Avaliação eficaz das políticas da organização no modo de teste
As políticas da organização no modo de simulação são herdadas de maneira semelhante a outras políticas da organização. Se uma política da organização no modo de simulação for definida em um recurso da organização, ela será herdada por todos os recursos descendentes, a menos que seja substituída em um nível inferior na hierarquia.
Uma avaliação eficaz da política mostra o resultado das políticas da organização mescladas nesse recurso. Portanto, os ajustes na política da organização ativa serão refletidos na política efetiva da organização no modo de simulação, se essa política for herdada em vez de definida localmente.
Por exemplo, considere um recurso da organização, Organization A
, com uma política da organização ativa definida como enforced: false
e uma política da organização no modo de simulação definida como enforced: true
. Um recurso filho, Folder B
, também define
a política da organização ativa como enforced: false
e herda a
política da organização no modo de simulação. Em Folder B
, a política ativa definida significa
que a avaliação de política efetiva da política da organização no modo de teste também é
enforce: false
, substituindo a política da organização no modo de teste definido na
organização pai.
Um recurso filho de Folder B
, Project X
, define a política ativa como
enforced: true
. Semelhante ao comportamento em Folder B
, a avaliação eficaz da política da organização no modo de teste para Project X
é enforced: true
, porque a política ativa está definida.
Outro recurso filho de Folder B
, Project Y
, define a política da organização
no modo de simulação como enforced: true
. Ela herda a política da organização do
recurso pai. Portanto, a avaliação efetiva é enforced: false
para a
política ativa e enforced: true
para a política da organização no modo de
teste.
Recurso | Definir política da organização ativa | Política efetiva da organização ativa | Definir a política da organização no modo de teste | Política da organização eficaz no modo de teste |
---|---|---|---|---|
Organização A | enforced: false |
enforced: false |
enforced: true |
enforced: true |
Pasta B | enforced: false |
enforced: false |
Nenhuma | enforced: false |
Pasta C | Nenhuma | enforced: false |
Nenhuma | enforced: true |
Projeto X | enforced: true |
enforced: true |
Nenhuma | enforced: true |
Projeto Y | Nenhuma | enforced: false |
enforced: true |
enforced: true |
Analisar os efeitos de uma política da organização no modo de teste
Uma política da organização no modo de teste não bloqueia nenhuma operação quando aplicada. Para ver o efeito que a política da organização teria, verifique os registros de auditoria da política da organização.
Os registros de auditoria de políticas da organização ativas e no modo de simulação são gerados com base na permissão ou negação da operação pelas políticas aplicadas em determinado recurso. A tabela a seguir descreve as situações em que um registro de auditoria de política da organização é gerado:
Política ativa da organização | Política da organização no modo de teste | Registro de auditoria gerado |
---|---|---|
Permitir | Permitir | No |
Permitir | Recusar | Registro de auditoria apenas no modo de teste |
Recusar | Permitir | Registro de auditoria nos modos ao vivo e de teste |
Recusar | Recusar | Registro de auditoria nos modos ao vivo e de teste |
A política da organização em violações no modo de simulação aparecem ao lado das violações no modo ativo nos registros de auditoria. Exemplo:
{
"protoPayload": {
"@type": "type.googleapis.com/google.cloud.audit.AuditLog",
"status": {
"code": 7,
"message": "PERMISSION_DENIED"
},
"authenticationInfo": {},
"requestMetadata": {
"callerIp": "1.2.3.4",
"requestAttributes": {},
"destinationAttributes": {}
},
"serviceName": "appengine.googleapis.com",
"methodName": "google.api.appengine.v1.appengine.apps.services.get",
"resourceName": "projects/sur-project-test-3",
"metadata": {
"constraint": "constraints/gcp.restrictServiceUsage",
"checkedValue": "appengine.googleapis.com",
"liveResult": "ALLOWED",
"@type": "type.googleapis.com/google.cloud.audit.OrgPolicyDryRunAuditMetadata",
"dryRunResult": "DENIED"
}
},
"insertId": "1f2bvoxcmg1",
"resource": {
"type": "audited_resource",
"labels": {
"project_id": "sur-project-test-3",
"service": "appengine.googleapis.com",
"method": "google.api.appengine.v1.appengine.apps.services.get"
}
},
"timestamp": "2022-06-16T19:42:58.244990928Z",
"severity": "WARNING",
"logName": "projects/sur-project-test-3/logs/cloudaudit.googleapis.com%2Fpolicy",
"receiveTimestamp": "2022-06-16T19:42:59.572025716Z"
}
É possível usar a Análise de registros para consultar apenas a política da organização em violações do modo de simulação.
Console
No Console do Google Cloud, é possível usar a Análise de Registros para recuperar as entradas de registro de auditoria do projeto do Google Cloud, da pasta ou da organização:
No console do Google Cloud, acesse a página Logging> Análise de registros.
Selecione um projeto do Google Cloud, uma pasta ou uma organização.
No painel Criador de consultas, faça o seguinte:
Em Tipo de recurso, selecione o recurso do Google Cloud com os registros de auditoria que você quer consultar.
Em Nome do registro, selecione o tipo de registro de auditoria da política.
No painel Consulta, insira o seguinte:
protoPayload.metadata.dryRunResult = "DENIED" AND \ protoPayload.metadata.liveResult = "ALLOWED"
Se você tiver problemas ao tentar visualizar registros na Análise de registros, consulte as informações de solução de problemas.
Para mais informações sobre como consultar usando a Análise de Registros, consulte Criar consultas na Análise de Registros.
gcloud
A Google Cloud CLI fornece uma interface de linha de comando para a API Logging. Insira um identificador de recurso válido em cada um dos nomes de registro. Por exemplo, se a consulta incluir um ID do projeto, o identificador do projeto fornecido precisará se referir ao nome do projeto selecionado no momento.
Para ler as entradas de registro de auditoria da política da organização em violações do modo de teste, execute o seguinte comando:
gcloud logging read protoPayload.metadata.dryRunResult = "DENIED" AND \ protoPayload.metadata.liveResult = "ALLOWED" \ --RESOURCE_TYPE=RESOURCE_ID \
Substitua:
RESOURCE_TYPE
comorganization
,folder
ouproject
.RESOURCE_ID
pelo ID da organização, ID da pasta, ID do projeto ou número do projeto, dependendo do tipo de recurso especificado emRESOURCE_TYPE
.
Adicione a sinalização --freshness
ao comando para ler registros com mais
de um dia.
Saiba mais sobre como usar a CLI gcloud em
gcloud logging read
.
Se você tiver muitos projetos na organização, poderá usar coletores agregados para agregar e rotear as entradas de registro de auditoria de todos os projetos da organização para uma tabela do BigQuery. Para mais informações sobre como criar coletores agregados, consulte Agrupar e rotear registros no nível da organização para destinos compatíveis.
A seguir
Para mais informações sobre como criar e gerenciar restrições da política da organização, consulte Como usar restrições.