En esta página, se muestra cómo usar una política de la organización en modo de ejecución de prueba para supervisar cómo un cambio en la política afectaría tus flujos de trabajo antes de que se aplique.
Una política de la organización en modo de prueba de validación se crea y se aplica de manera similar a otras políticas de la organización, y los incumplimientos de la política se registran en la auditoría, pero no se rechazan las acciones en incumplimiento.
Antes de comenzar
Para usar una política de la organización en modo de ejecución de prueba, debes tener habilitada la facturación para el proyecto de Google Cloud. Si quieres obtener más información sobre cómo comprobar si la facturación está habilitada para un proyecto, consulta Verifica el estado de facturación de tus proyectos.
Para obtener más información sobre qué son las políticas y restricciones de la organización y cómo funcionan, consulta Introducción al Servicio de políticas de la organización.
Funciones obligatorias
Si quieres obtener los permisos que necesitas para administrar las políticas de la organización,
pídele a tu administrador que te otorgue el
rol de IAM de Administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización.
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso.
Este rol predefinido contiene los permisos necesarios para administrar las políticas de la organización. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para administrar las políticas de la organización:
-
orgpolicy.constraints.list -
orgpolicy.policies.create -
orgpolicy.policies.delete -
orgpolicy.policies.list -
orgpolicy.policies.update -
orgpolicy.policy.get -
orgpolicy.policy.set
También puedes obtener estos permisos con roles personalizados o, también, otros roles predefinidos.
Limitaciones
Las únicas restricciones de políticas de la organización disponibles para usar en las políticas de la organización de prueba de validación son las siguientes:
Si intentas crear una política de la organización en modo de prueba de validación con cualquier otra restricción, se mostrará un error.
Crea una política de la organización en modo de prueba de validación
Restricciones de lista
Puedes crear una política de la organización en modo de ejecución de prueba para una restricción de lista con la consola de Google Cloud o Google Cloud CLI. En los siguientes ejemplos, se muestra cómo crear una política de la organización en modo de prueba de validación que audite el efecto de la restricción de lista gcp.restrictServiceUsage.
Console
En la consola de Google Cloud, ve a la página Políticas de la organización.
En el selector de proyectos, selecciona el recurso para el que deseas establecer la política de la organización.
Selecciona la restricción Restringe el uso de servicios de recursos de la lista de la página Políticas de la organización.
Selecciona la pestaña Ejecución de prueba.
Haz clic en Administrar política de prueba de validación.
En la página Editar política de prueba de validación, selecciona Anular la política del superior.
En Aplicación de la política, haz clic en Reemplazar.
Haz clic en Agregar regla.
En Valores de la política, selecciona Personalizado.
En Tipo de política, selecciona Rechazar.
En el cuadro Valores personalizados, ingresa
compute.googleapis.comy, luego, haz clic en Listo.Si se trata de una restricción personalizada, puedes hacer clic en Probar cambios para simular el efecto de esta política de la organización. Para obtener más información, consulta Prueba los cambios en las políticas de la organización con Policy Simulator.
Para aplicar la política de la organización en modo de ejecución de prueba, haz clic en Configurar política de ejecución de prueba. También puedes hacer clic en Establecer política para establecer la política activa.
Puedes verificar el estado de la política de la organización en modo de prueba de validación en la pestaña Ejecución de prueba de una restricción de la política de la organización.
Para los proyectos que tienen una política de la organización en modo de ejecución de prueba aplicada, puedes ver los registros de auditoría si haces clic en Ver registros de rechazo. Para esta política de la organización, los registros de auditoría muestran los incumplimientos como si se aplicara la restricción Restrict Resource Service Usage para denegar compute.googleapis.com.
gcloud
Para crear una política de la organización en modo de prueba de validación, crea un archivo YAML que defina la restricción con dryRunSpec. Por ejemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
dryRunSpec:
rules:
values:
denied_values:
- compute.googleapis.com
Reemplaza lo siguiente:
RESOURCE_TYPEconorganizations,foldersoprojects.RESOURCE_IDpor el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado enRESOURCE_TYPE
Esta política de la organización no aplicará de manera forzosa la restricción gcp.restrictServiceUsage, pero los registros de auditoría muestran los incumplimientos como si lo hiciera.
Puedes establecer una política de la organización activa y una política de la organización de prueba de validación en el mismo archivo YAML si defines spec y dryRunSpec. Por ejemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
spec:
rules:
- values:
allowedValues:
- container.googleapis.com
dryRunSpec:
rules:
values:
allowedValues:
- compute.googleapis.com
- appengine.googleapis.com
Para aplicar una política de la organización en modo de ejecución de prueba, usa el comando org-policies set policy. Para actualizar una política de la organización existente en modo de ejecución de prueba con restricciones nuevas, usa la marca --update-mask. Por ejemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=UPDATE_MASK
Reemplaza lo siguiente:
POLICY_PATHpor la ruta completa al archivo YAML de la política de la organización.UPDATE_MASKconspecpara actualizar solo la política activa, odryRunSpecpara solo actualizar la política de la organización en modo de ejecución de prueba También puedes usar*para actualizar los camposspecydryRunSpec. Si este campo no se configura cuando actualizas una política de la organización existente, este comando generará un error y no se actualizará la política de la organización.
Puedes verificar que la política de la organización en modo de ejecución de prueba esté configurada con el comando org-policies describe. El campo dryRunSpec aparece solo si existe en la política de la organización.
La política de la organización anterior aplicaría la restricción gcp.restrictServiceUsage de modo que solo se permita container.googleapis.com. Sin embargo,
los registros de auditoría también muestran incumplimientos de compute.googleapis.com y
appengine.googleapis.com.
Restricciones booleanas
Puedes crear una política de la organización en modo de ejecución de prueba para una restricción booleana mediante la consola de Google Cloud o Google Cloud CLI. En los siguientes ejemplos, se muestra cómo crear una política de la organización en modo de prueba de validación que audita el efecto de una política de la organización personalizada booleana.
Console
En la consola de Google Cloud, ve a la página Políticas de la organización.
En el selector de proyectos, selecciona el recurso para el que deseas establecer la política de la organización.
Selecciona la política de la organización personalizada que deseas aplicar de la lista de la página Políticas de la organización.
Selecciona la pestaña Ejecución de prueba.
Haz clic en Administrar política de prueba de validación.
En la página Editar política de prueba de validación, selecciona Anular la política del superior.
Haz clic en Agregar regla.
En Aplicación, selecciona Activada y, luego, haz clic en Listo.
Para aplicar la política de la organización en modo de ejecución de prueba, haz clic en Configurar política de ejecución de prueba. Una vez que verifiques que la política de la organización en el modo de ejecución de prueba funciona según lo previsto, puedes configurar la política activa haciendo clic en Establecer política.
Puedes verificar el estado de la política de la organización en modo de prueba de validación en la pestaña Ejecución de prueba de una restricción de la política de la organización.
Para los proyectos que tienen una política de la organización en modo de ejecución de prueba aplicada, puedes ver los registros de auditoría si haces clic en Ver registros de rechazo. Para esta política de la organización, los registros de auditoría muestran los incumplimientos como si se aplicara la política personalizada de la organización.
gcloud
Para crear una política de la organización en modo de prueba de validación, crea un archivo YAML que defina la restricción con dryRunSpec. Por ejemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME
dryRunSpec:
rules:
- enforce: true
Reemplaza lo siguiente:
RESOURCE_TYPEconorganizations,foldersoprojects.RESOURCE_IDpor el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado enRESOURCE_TYPECONSTRAINT_NAMEpor el nombre de la restricción personalizada Por ejemplo,custom.disableGkeAutoUpgrade
Esta política de la organización no aplicará la restricción personalizada de manera forzosa, pero los registros de auditoría muestran incumplimientos como si lo hiciera.
Puedes establecer una política de la organización activa y una política de la organización en modo de prueba en el mismo archivo YAML, si defines spec y dryRunSpec. Por ejemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: false dryRunSpec: rules: - enforce: true
Para aplicar una política de la organización en modo de ejecución de prueba, usa el comando org-policies set policy. Para actualizar una política de la organización existente en modo de ejecución de prueba con restricciones nuevas, usa la marca --update-mask. Por ejemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=UPDATE_MASK
Reemplaza lo siguiente:
POLICY_PATHpor la ruta completa al archivo YAML de la política de la organización.UPDATE_MASKconspecpara actualizar solo la política activa, odryRunSpecpara solo actualizar la política de la organización en modo de ejecución de prueba También puedes usar*para actualizar los camposspecydryRunSpec. Si este campo no se configura cuando actualizas una política de la organización existente, este comando generará un error y no se actualizará la política de la organización.
Puedes verificar que se configure una política de la organización en modo de ejecución de prueba mediante el comando org-policies describe. El campo dryRunSpec aparece solo si existe en la política de la organización.
Esta política de la organización no aplica la restricción personalizada de manera forzosa. Sin embargo, los registros de auditoría muestran incumplimientos de la restricción personalizada.
Crea una política de la organización en modo de prueba de validación a partir de una política activa
Puedes usar una política de la organización existente como punto de partida para una política de la organización en modo de prueba de validación. Te recomendamos que lo hagas para ver qué impacto tendría en tu entorno un cambio en tu política existente.
Puedes crear una política de la organización en modo de prueba de validación basada en una política existente con la consola de Google Cloud o Google Cloud CLI.
Console
En la consola de Google Cloud, ve a la página Políticas de la organización.
En el selector de proyectos, selecciona un recurso que ya tenga configurada la restricción Restrict Resource Service Usage.
Selecciona la restricción Restringe el uso de servicios de recursos de la lista de la página Políticas de la organización.
Selecciona la pestaña En vivo.
Haz clic en Administrar política.
Haz clic en Agregar regla.
En Valores de la política, selecciona Personalizado.
En Tipo de política, selecciona Rechazar.
En el cuadro Valores personalizados, ingresa
appengine.googleapis.com.Haz clic en Listo y, luego, en Establecer política de ejecución de prueba.
gcloud
Para crear una política de la organización en modo de prueba de validación basada en una política de la organización activa existente, obtén la política actual del recurso con el comando org-policies describe. Por ejemplo:
gcloud org-policies describe gcp.restrictServiceUsage \ --project=PROJECT_ID
Reemplaza PROJECT_ID por el ID del proyecto o el número del proyecto en el que se configuró esta política de la organización.
El resultado debería ser similar al siguiente:
name: projects/123456789012/policies/gcp.restrictServiceUsage
spec:
etag: CJy93KEGEKCJw/QB
rules:
- values:
allowedValues:
- compute.googleapis.com
updateTime: '2023-04-12T21:11:56.512804Z'
Copia el resultado de este comando en un archivo temporal. Edita este archivo para quitar los campos etag y updateTime y cambia el campo spec a dryRunSpec. Realiza los cambios en la configuración de restricciones que quieras probar en la política de la organización en modo de prueba de validación.
El archivo YAML terminado debería ser similar al siguiente:
name: projects/123456789012/policies/gcp.restrictServiceUsage
dryRunSpec:
rules:
values:
allowedValues:
- compute.googleapis.com
- appengine.googleapis.com
Para aplicar la política de la organización en modo de ejecución de prueba, usa org-policies set policy con la marca --update-mask. Por ejemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=dryRunSpec
Reemplaza POLICY_PATH por la ruta completa al archivo YAML de la política de la organización temporal.
Borrar una política de la organización en modo de prueba de validación
Puedes borrar una política de la organización en modo de ejecución de prueba con la consola de Google Cloud o Google Cloud CLI.
Console
En la consola de Google Cloud, ve a la página Políticas de la organización.
En el selector de proyectos, selecciona el recurso para el que deseas establecer la política de la organización.
Selecciona la restricción Restringe el uso de servicios de recursos de la lista de la página Políticas de la organización.
Selecciona la pestaña Ejecución de prueba.
Haz clic en Borrar política de prueba de validación.
gcloud
Para borrar una política de la organización en modo de prueba de validación, crea un archivo YAML que defina la política de la organización sin una especificación de prueba de validación. Por ejemplo:
name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
spec:
rules:
- values:
allowedValues:
- container.googleapis.com
Reemplaza lo siguiente:
RESOURCE_TYPEconorganizations,foldersoprojectsRESOURCE_IDpor el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado enRESOURCE_TYPE
Luego, usa el comando org-policies set policy con la marca --update-mask establecida en dryRunSpec. Por ejemplo:
gcloud org-policies set-policy POLICY_PATH \ --update-mask=dryRunSpec
Esto actualiza la política de la organización existente para quitar la especificación de prueba de validación y, además, ignora la parte publicada de la especificación.
Para borrar las políticas de la organización activas y las políticas de la organización en modo de prueba a la vez, usa el comando org-policies delete. Por ejemplo:
gcloud org-policies delete CONSTRAINT_NAME \ --RESOURCE_TYPE=RESOURCE_ID
Reemplaza lo siguiente:
CONSTRAINT_NAMEpor el nombre de la restricción que deseas borrar Por ejemplo,gcp.restrictServiceUsageRESOURCE_TYPEconorganizations,foldersoprojectsRESOURCE_IDpor el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado enRESOURCE_TYPE
Evaluación eficaz de las políticas de la organización en modo de prueba de validación
Las políticas de la organización en modo de ejecución de prueba se heredan de manera similar a otras políticas de la organización. Si se configura una política de la organización en modo de ejecución de prueba en un recurso de la organización, todos los recursos subordinados la heredan, a menos que se anule en un nivel inferior de la jerarquía.
Una evaluación eficaz de políticas muestra el resultado de las políticas de la organización que se combinan en ese recurso. Por lo tanto, los ajustes en la política de la organización activa se reflejan en la política de la organización vigente en el modo de prueba si la política del modo de ejecución de prueba se hereda en lugar de establecerse de forma local.
Por ejemplo, considera un recurso de la organización, Organization A, con una política de la organización activa establecida en enforced: false y una política de la organización en modo de ejecución de prueba establecida como enforced: true. Un recurso secundario, Folder B, también establece la política de la organización activa en enforced: false y hereda la política de la organización en modo de prueba de validación. En Folder B, la política activa establecida significa que la evaluación efectiva de las políticas de la política de la organización en modo de ejecución de prueba también es enforce: false, lo que anula la política de la organización en modo de prueba de validación establecida en su organización superior.
Un recurso secundario de Folder B, Project X, establece la política activa en enforced: true. Al igual que el comportamiento en Folder B, la evaluación efectiva de la política de la organización en modo de prueba de validación para Project X es enforced: true, porque se establece la política activa.
Otro recurso secundario de Folder B, Project Y, establece la política de la organización en modo de prueba de validación en enforced: true. Hereda la política de la organización de su recurso superior, por lo que la evaluación vigente es enforced: false para la política activa y enforced: true para la política de la organización en modo de prueba de validación.
| Recurso | Configurar la política de la organización activa | Política vigente de la organización activa | Establecer la política de la organización en modo de prueba de validación | Política de la organización vigente en modo de prueba de validación |
|---|---|---|---|---|
| Organización A | enforced: false |
enforced: false |
enforced: true |
enforced: true |
| Carpeta B | enforced: false |
enforced: false |
Ninguna | enforced: false |
| Carpeta C | Ninguna | enforced: false |
Ninguna | enforced: true |
| Proyecto X | enforced: true |
enforced: true |
Ninguna | enforced: true |
| Proyecto Y | Ninguna | enforced: false |
enforced: true |
enforced: true |
Analizar los efectos de una política de la organización en modo de prueba de validación
Una política de la organización en modo de ejecución de prueba no bloquea ninguna operación cuando se aplica. Para ver el efecto que tendría tu política de la organización, puedes consultar los registros de auditoría de las políticas de la organización.
Los registros de auditoría de las políticas de la organización para las políticas de la organización activas y las políticas de la organización en modo de prueba de validación se generan en función de si las políticas que se aplican a un recurso determinado permiten o rechazan la operación. En la siguiente tabla, se describen las situaciones en las que se genera un registro de auditoría de las políticas de la organización:
| Política de la organización activa | Política de la organización en modo de ejecución de prueba | Se generó un registro de auditoría |
|---|---|---|
| Permitir | Permitir | No |
| Permitir | Rechazar | Registro de auditoría solo en modo de ejecución de prueba |
| Rechazar | Permitir | Registro de auditoría en modo publicado y de ejecución de prueba |
| Rechazar | Rechazar | Registro de auditoría en modo publicado y de ejecución de prueba |
Los incumplimientos de la política de la organización en modo de ejecución de prueba aparecen junto con los incumplimientos en modo activo en los registros de auditoría. Por ejemplo:
{
"protoPayload": {
"@type": "type.googleapis.com/google.cloud.audit.AuditLog",
"status": {
"code": 7,
"message": "PERMISSION_DENIED"
},
"authenticationInfo": {},
"requestMetadata": {
"callerIp": "1.2.3.4",
"requestAttributes": {},
"destinationAttributes": {}
},
"serviceName": "appengine.googleapis.com",
"methodName": "google.api.appengine.v1.appengine.apps.services.get",
"resourceName": "projects/sur-project-test-3",
"metadata": {
"constraint": "constraints/gcp.restrictServiceUsage",
"checkedValue": "appengine.googleapis.com",
"liveResult": "ALLOWED",
"@type": "type.googleapis.com/google.cloud.audit.OrgPolicyDryRunAuditMetadata",
"dryRunResult": "DENIED"
}
},
"insertId": "1f2bvoxcmg1",
"resource": {
"type": "audited_resource",
"labels": {
"project_id": "sur-project-test-3",
"service": "appengine.googleapis.com",
"method": "google.api.appengine.v1.appengine.apps.services.get"
}
},
"timestamp": "2022-06-16T19:42:58.244990928Z",
"severity": "WARNING",
"logName": "projects/sur-project-test-3/logs/cloudaudit.googleapis.com%2Fpolicy",
"receiveTimestamp": "2022-06-16T19:42:59.572025716Z"
}
Puedes usar el Explorador de registros para consultar solo las políticas de la organización en el modo de ejecución de prueba.
Console
En la consola de Google Cloud, puedes usar el Explorador de registros para recuperar las entradas de registro de auditoría de tu carpeta, organización o proyecto de Google Cloud:
En la consola de Google Cloud, ve a la página Logging> Explorador de registros.
Selecciona una organización, una carpeta o un proyecto existente de Google Cloud.
En el panel Compilador de consultas, sigue estos pasos:
En Tipo de recurso, selecciona el recurso de Google Cloud cuyos registros de auditoría deseas ver.
En Nombre del registro, selecciona el tipo de registro de auditoría política.
En el panel Consulta, ingresa lo siguiente:
protoPayload.metadata.dryRunResult = "DENIED" AND \ protoPayload.metadata.liveResult = "ALLOWED"
Si tienes problemas cuando intentas ver registros en el Explorador de registros, consulta la información para solucionar problemas.
Para obtener más información de las consultas con el Explorador de registros, visita Compila consultas en el Explorador de registros.
gcloud
Google Cloud CLI proporciona una interfaz de línea de comandos para la API de Logging. Proporciona un identificador de recurso válido en cada uno de los nombres de registro. Por ejemplo, si tu consulta incluye un ID del proyecto, el identificador del proyecto que proporciones debe hacer referencia al nombre del proyecto seleccionado actualmente.
Para leer las entradas del registro de auditoría de las políticas de la organización en modo de ejecución de prueba, ejecuta el siguiente comando:
gcloud logging read protoPayload.metadata.dryRunResult = "DENIED" AND \
protoPayload.metadata.liveResult = "ALLOWED" \
--RESOURCE_TYPE=RESOURCE_ID \
Reemplaza lo siguiente:
RESOURCE_TYPEconorganization,folderoprojectRESOURCE_IDpor el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado enRESOURCE_TYPE
Agrega la marca --freshness a tu comando para leer los registros que tengan más de 1 día de antigüedad.
Para obtener más información del uso de gcloud CLI, consulta gcloud logging read.
Si tienes muchos proyectos en tu organización, puedes usar receptores agregados para agregar y enrutar las entradas del registro de auditoría de todos los proyectos bajo tu organización a una tabla de BigQuery. Para obtener más información sobre cómo crear receptores agregados, consulta Recopila y enruta registros a nivel de la organización a destinos compatibles.
¿Qué sigue?
Para obtener más información sobre cómo crear y administrar las restricciones de las políticas de la organización, consulta Usa restricciones.