Crea un criterio dell'organizzazione in modalità dry run

Questa pagina mostra come utilizzare un criterio dell'organizzazione in modalità dry run per monitorare l'impatto di una modifica ai criteri sui flussi di lavoro prima dell'applicazione.

Un criterio dell'organizzazione in modalità dry run viene creato e applicato in modo simile ad altri criteri dell'organizzazione e le violazioni del criterio vengono registrate, ma le azioni in violazione non vengono negate.

Prima di iniziare

Per utilizzare un criterio dell'organizzazione in modalità di prova, la fatturazione deve essere abilitata per il tuo progetto Google Cloud. Per informazioni su come controllare se la fatturazione è abilitata per un progetto, consulta Verificare lo stato di fatturazione dei progetti.

Per ulteriori informazioni sui criteri e sui vincoli dell'organizzazione e sul loro funzionamento, consulta Introduzione al servizio Criteri dell'organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) per l'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire i criteri dell'organizzazione. Per visualizzare esattamente le autorizzazioni necessarie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire i criteri dell'organizzazione sono necessarie le seguenti autorizzazioni:

  • orgpolicy.constraints.list
  • orgpolicy.policies.create
  • orgpolicy.policies.delete
  • orgpolicy.policies.list
  • orgpolicy.policies.update
  • orgpolicy.policy.get
  • orgpolicy.policy.set

Potresti anche riuscire a ottenere queste autorizzazioni con i ruoli personalizzati o altri ruoli predefiniti.

Limitazioni

Gli unici vincoli dei criteri dell'organizzazione che possono essere utilizzati nei criteri dell'organizzazione di prova sono:

Il tentativo di creare un criterio dell'organizzazione in modalità dry run utilizzando qualsiasi altro vincolo genera un errore.

Crea un criterio dell'organizzazione in modalità dry run

Vincoli elenco

Puoi creare un criterio dell'organizzazione in modalità di prova per un vincolo di elenco utilizzando la console Google Cloud o Google Cloud CLI. I seguenti esempi mostrano come creare un criterio dell'organizzazione in modalità dry run che verifichi l'effetto del vincolo dell'elenco gcp.restrictServiceUsage.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Dal selettore dei progetti, seleziona la risorsa per cui vuoi impostare il criterio dell'organizzazione.

  3. Seleziona il vincolo Limita l'utilizzo del servizio risorse dall'elenco nella pagina Criteri dell'organizzazione.

  4. Seleziona la scheda Dry run.

  5. Fai clic su Gestisci criterio dry run.

  6. Nella pagina Modifica criterio dry run, seleziona Sostituisci criterio della risorsa padre.

  7. In Applicazione dei criteri, fai clic su Sostituisci.

  8. Fai clic su Aggiungi regola.

  9. In Valori criterio, seleziona Personalizzato.

  10. In Tipo di criterio, seleziona Rifiuta.

  11. Nella casella Valori personalizzati, inserisci compute.googleapis.com e fai clic su Fine.

  12. Se questo è un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per maggiori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.

  13. Per applicare il criterio dell'organizzazione in modalità di prova, fai clic su Imposta criterio dry run. Puoi anche impostare il criterio pubblicato facendo clic su Imposta criterio.

Per verificare lo stato del criterio dell'organizzazione in modalità di prova, accedi alla scheda Dry run di un vincolo del criterio dell'organizzazione.

Per i progetti a cui è applicato un criterio dell'organizzazione in modalità di prova, puoi visualizzare gli audit log facendo clic su Visualizza log di rifiuto. Per questo criterio dell'organizzazione, gli audit log mostrano le violazioni come se il vincolo Limita l'utilizzo del servizio risorse fosse applicato in modo da rifiutare compute.googleapis.com.

gcloud

Per creare un criterio dell'organizzazione in modalità di prova, crea un file YAML che definisce il vincolo con dryRunSpec. Ad esempio:

  name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
  dryRunSpec:
    rules:
      values:
        denied_values:
        - compute.googleapis.com

Sostituisci quanto segue:

  • RESOURCE_TYPE con organizations, folders o projects.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

Questo criterio dell'organizzazione non applicherà il vincolo gcp.restrictServiceUsage, ma gli audit log mostrano le violazioni come se fossero in questo caso.

Puoi impostare un criterio dell'organizzazione attivo e un criterio dell'organizzazione di prova nello stesso file YAML, se definisci sia spec sia dryRunSpec. Ad esempio:

name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
spec:
  rules:
  - values:
    allowedValues:
    - container.googleapis.com

dryRunSpec:
  rules:
    values:
      allowedValues:
      - compute.googleapis.com
      - appengine.googleapis.com

Per applicare un criterio dell'organizzazione in modalità di prova, utilizza il comando org-policies set policy. Per aggiornare un criterio dell'organizzazione esistente in modalità dry run con nuovi vincoli, usa il flag --update-mask. Ad esempio:

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=UPDATE_MASK

Sostituisci quanto segue:

  • POLICY_PATH con il percorso completo del file YAML dei criteri dell'organizzazione.

  • UPDATE_MASK con spec per aggiornare solo il criterio di pubblicazione oppure dryRunSpec per aggiornare solo il criterio dell'organizzazione solo in modalità dry run. Puoi anche utilizzare * per aggiornare entrambi i campi spec e dryRunSpec. Se questo campo non viene configurato durante l'aggiornamento di un criterio dell'organizzazione esistente, questo comando genererà un errore e il criterio dell'organizzazione non verrà aggiornato.

Puoi verificare che il criterio dell'organizzazione in modalità di prova sia impostato utilizzando il comando org-policies describe. Il campo dryRunSpec viene visualizzato solo se esiste nel criterio dell'organizzazione.

Il criterio dell'organizzazione riportato sopra applica il vincolo gcp.restrictServiceUsage, in modo che sia consentito solo il criterio container.googleapis.com. Tuttavia, gli audit log mostrano anche violazioni di compute.googleapis.com e appengine.googleapis.com.

Vincoli booleani

Puoi creare un criterio dell'organizzazione in modalità dry run per un vincolo booleano utilizzando la console Google Cloud o Google Cloud CLI. I seguenti esempi mostrano come creare un criterio dell'organizzazione in modalità dry run che verifichi l'effetto di un criterio dell'organizzazione personalizzato booleano.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Dal selettore dei progetti, seleziona la risorsa per cui vuoi impostare il criterio dell'organizzazione.

  3. Seleziona il criterio dell'organizzazione personalizzato che vuoi applicare dall'elenco nella pagina Criteri dell'organizzazione.

  4. Seleziona la scheda Dry run.

  5. Fai clic su Gestisci criterio dry run.

  6. Nella pagina Modifica criterio dry run, seleziona Sostituisci criterio della risorsa padre.

  7. Fai clic su Aggiungi regola.

  8. In Applicazione, seleziona On, quindi fai clic su Fine.

  9. Per applicare il criterio dell'organizzazione in modalità di prova, fai clic su Imposta criterio dry run. Dopo aver verificato che il criterio dell'organizzazione in modalità di prova funziona come previsto, puoi impostare il criterio attivo facendo clic su Imposta criterio.

Per verificare lo stato del criterio dell'organizzazione in modalità di prova, accedi alla scheda Dry run di un vincolo del criterio dell'organizzazione.

Per i progetti a cui è applicato un criterio dell'organizzazione in modalità di prova, puoi visualizzare gli audit log facendo clic su Visualizza log di rifiuto. Per questo criterio dell'organizzazione, gli audit log mostrano le violazioni come se venisse applicato il criterio personalizzato dell'organizzazione.

gcloud

Per creare un criterio dell'organizzazione in modalità di prova, crea un file YAML che definisce il vincolo con dryRunSpec. Ad esempio:

  name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME
  dryRunSpec:
    rules:
    - enforce: true

Sostituisci quanto segue:

  • RESOURCE_TYPE con organizations, folders o projects.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

  • CONSTRAINT_NAME con il nome del vincolo personalizzato. Ad esempio, custom.disableGkeAutoUpgrade.

Questo criterio dell'organizzazione non applicherà il vincolo personalizzato, ma gli audit log mostrano le violazioni come se fossero in questo caso.

Puoi impostare un criterio dell'organizzazione attivo e un criterio dell'organizzazione in modalità dry run nello stesso file YAML, se definisci sia spec sia dryRunSpec. Ad esempio:

name: RESOURCE_TYPE/RESOURCE_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: false

dryRunSpec:
  rules:
  - enforce: true

Per applicare un criterio dell'organizzazione in modalità di prova, utilizza il comando org-policies set policy. Per aggiornare un criterio dell'organizzazione esistente in modalità dry run con nuovi vincoli, usa il flag --update-mask. Ad esempio:

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=UPDATE_MASK

Sostituisci quanto segue:

  • POLICY_PATH con il percorso completo del file YAML dei criteri dell'organizzazione.

  • UPDATE_MASK con spec per aggiornare solo il criterio di pubblicazione oppure dryRunSpec per aggiornare solo il criterio dell'organizzazione solo in modalità dry run. Puoi anche utilizzare * per aggiornare entrambi i campi spec e dryRunSpec. Se questo campo non viene configurato durante l'aggiornamento di un criterio dell'organizzazione esistente, questo comando genererà un errore e il criterio dell'organizzazione non verrà aggiornato.

Puoi verificare che sia impostato un criterio dell'organizzazione in modalità di prova utilizzando il comando org-policies describe. Il campo dryRunSpec viene visualizzato solo se esiste nel criterio dell'organizzazione.

Questo criterio dell'organizzazione non applica il vincolo personalizzato. Tuttavia, gli audit log mostrano violazioni del vincolo personalizzato.

Crea un criterio dell'organizzazione in modalità dry run da un criterio attivo

Puoi utilizzare un criterio dell'organizzazione esistente come punto di partenza per un criterio dell'organizzazione in modalità dry run. È consigliabile eseguire questa operazione per verificare l'impatto di una modifica al criterio esistente sul tuo ambiente.

Puoi creare un criterio dell'organizzazione in modalità di prova in base a un criterio esistente utilizzando la console Google Cloud o Google Cloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Dal selettore del progetto, seleziona una risorsa per la quale è già configurato il vincolo Limita l'utilizzo del servizio risorse.

  3. Seleziona il vincolo Limita l'utilizzo del servizio risorse dall'elenco nella pagina Criteri dell'organizzazione.

  4. Seleziona la scheda Pubblicati.

  5. Fai clic su Gestisci criterio.

  6. Fai clic su Aggiungi regola.

  7. In Valori criterio, seleziona Personalizzato.

  8. In Tipo di criterio, seleziona Rifiuta.

  9. Nella casella Valori personalizzati, inserisci appengine.googleapis.com.

  10. Fai clic su Fine, quindi su Imposta criterio dry run.

gcloud

Per creare un criterio dell'organizzazione in modalità dry run basato su un criterio dell'organizzazione attivo esistente, recupera il criterio attuale per la risorsa utilizzando il comando org-policies describe. Ad esempio:

gcloud org-policies describe gcp.restrictServiceUsage \
  --project=PROJECT_ID

Sostituisci PROJECT_ID con l'ID o il numero del progetto in cui è configurato questo criterio dell'organizzazione.

L'output dovrebbe essere simile al seguente:

  name: projects/123456789012/policies/gcp.restrictServiceUsage
  spec:
    etag: CJy93KEGEKCJw/QB
    rules:
    - values:
        allowedValues:
        - compute.googleapis.com
  updateTime: '2023-04-12T21:11:56.512804Z'

Copia l'output di questo comando in un file temporaneo. Modifica questo file per rimuovere i campi etag e updateTime e cambia il campo spec in dryRunSpec. Apporta le modifiche alla configurazione del vincolo che vuoi testare nel criterio dell'organizzazione in modalità di prova.

Il file YAML completato dovrebbe avere un aspetto simile al seguente:

  name: projects/123456789012/policies/gcp.restrictServiceUsage
  dryRunSpec:
    rules:
      values:
        allowedValues:
        - compute.googleapis.com
        - appengine.googleapis.com

Per applicare il criterio dell'organizzazione in modalità di prova, utilizza org-policies set policy con il flag --update-mask. Ad esempio:

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=dryRunSpec

Sostituisci POLICY_PATH con il percorso completo del file YAML dei criteri dell'organizzazione temporanei.

Elimina un criterio dell'organizzazione in modalità dry run

Puoi eliminare un criterio dell'organizzazione in modalità di prova utilizzando la console Google Cloud o Google Cloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Dal selettore dei progetti, seleziona la risorsa per cui vuoi impostare il criterio dell'organizzazione.

  3. Seleziona il vincolo Limita l'utilizzo del servizio risorse dall'elenco nella pagina Criteri dell'organizzazione.

  4. Seleziona la scheda Dry run.

  5. Fai clic su Elimina criterio dry run.

gcloud

Per eliminare un criterio dell'organizzazione in modalità dry run, crea un file YAML che definisce il criterio dell'organizzazione senza una specifica dry run. Ad esempio:

  name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictServiceUsage
  spec:
    rules:
    - values:
      allowedValues:
      - container.googleapis.com

Sostituisci quanto segue:

  • RESOURCE_TYPE con organizations, folders o projects.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

Quindi, utilizza il comando org-policies set policy con il flag --update-mask impostato su dryRunSpec. Ad esempio:

gcloud org-policies set-policy POLICY_PATH \
  --update-mask=dryRunSpec

Il criterio dell'organizzazione esistente viene aggiornato per rimuovere la specifica dry run e la parte attiva della specifica viene ignorata.

Per eliminare contemporaneamente sia i criteri dell'organizzazione attivi sia i criteri dell'organizzazione in modalità di prova, utilizza il comando org-policies delete. Ad esempio:

gcloud org-policies delete CONSTRAINT_NAME \
  --RESOURCE_TYPE=RESOURCE_ID

Sostituisci quanto segue:

  • CONSTRAINT_NAME con il nome del vincolo che vuoi eliminare. Ad esempio, gcp.restrictServiceUsage.

  • RESOURCE_TYPE con organizations, folders o projects.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

Valutazione efficace dei criteri dell'organizzazione in modalità di prova

I criteri dell'organizzazione in modalità dry run vengono ereditati in modo simile ad altri criteri dell'organizzazione. Se su una risorsa dell'organizzazione viene impostato un criterio dell'organizzazione in modalità di prova, questo viene ereditato da tutte le risorse discendenti, a meno che non venga eseguito l'override a un livello inferiore della gerarchia.

La valutazione effettiva dei criteri mostra il risultato dei criteri dell'organizzazione uniti a quella risorsa. Di conseguenza, le modifiche al criterio dell'organizzazione attiva si riflettono nel criterio dell'organizzazione effettivo in modalità di prova, se il criterio della modalità dry run viene ereditato anziché essere impostato localmente.

La modifica del criterio dell'organizzazione attivo di un progetto ne modifica anche il criterio dell'organizzazione effettivo in modalità dry run.

Ad esempio, considera una risorsa organizzazione, Organization A, con un criterio dell'organizzazione attivo impostato su enforced: false e un criterio dell'organizzazione in modalità di prova impostato su enforced: true. Anche una risorsa figlio, Folder B, imposta il criterio dell'organizzazione attivo su enforced: false ed eredita il criterio dell'organizzazione in modalità dry run. Su Folder B, il criterio attivo impostato significa che l'effettiva valutazione dei criteri del criterio dell'organizzazione in modalità dry run sarà anch'essa enforce: false, sostituendo il criterio dell'organizzazione in modalità dry run impostato nella relativa organizzazione principale.

Una risorsa secondaria di Folder B, Project X, imposta il criterio attivo su enforced: true. Analogamente al comportamento su Folder B, la valutazione effettiva del criterio dell'organizzazione in modalità di prova per Project X è enforced: true, perché il criterio attivo è impostato.

Un'altra risorsa figlio di Folder B, Project Y, imposta il criterio dell'organizzazione in modalità dry run su enforced: true. Eredita il criterio dell'organizzazione dalla risorsa padre e, di conseguenza, la valutazione effettiva è enforced: false per il criterio attivo e enforced: true per il criterio dell'organizzazione in modalità dry run.

Risorsa Imposta criterio dell'organizzazione attivo Criterio dell'organizzazione attivo effettivo Imposta il criterio dell'organizzazione in modalità dry run Criterio dell'organizzazione effettivo in modalità dry run
Organizzazione A enforced: false enforced: false enforced: true enforced: true
Cartella B enforced: false enforced: false Nessuna enforced: false
Cartella C Nessuna enforced: false Nessuna enforced: true
Progetto X enforced: true enforced: true Nessuna enforced: true
Progetto Y Nessuna enforced: false enforced: true enforced: true

Analizzare gli effetti di un criterio dell'organizzazione in modalità dry run

Un criterio dell'organizzazione in modalità dry run non blocca alcuna operazione quando viene applicato. Per vedere gli effetti prodotti dal criterio dell'organizzazione, puoi consultare gli audit log dei criteri dell'organizzazione.

Gli audit log dei criteri dell'organizzazione per i criteri dell'organizzazione attivi e quelli dell'organizzazione in modalità di prova vengono generati a seconda che l'operazione sia consentita o rifiutata dai criteri applicati a una determinata risorsa. La seguente tabella descrive le situazioni in cui viene generato un audit log dei criteri dell'organizzazione:

Criterio dell'organizzazione live Criterio dell'organizzazione in modalità dry run Log di controllo generato
Consenti Consenti No
Consenti Nega Log di controllo solo in modalità dry run
Nega Consenti Log di controllo in modalità live e dry run
Nega Nega Log di controllo in modalità live e dry run

Le violazioni dei criteri dell'organizzazione in modalità dry run vengono visualizzate insieme alle violazioni in modalità live negli audit log. Ad esempio:

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "status": {
      "code": 7,
      "message": "PERMISSION_DENIED"
    },
    "authenticationInfo": {},
    "requestMetadata": {
      "callerIp": "1.2.3.4",
      "requestAttributes": {},
      "destinationAttributes": {}
    },
    "serviceName": "appengine.googleapis.com",
    "methodName": "google.api.appengine.v1.appengine.apps.services.get",
    "resourceName": "projects/sur-project-test-3",
    "metadata": {
      "constraint": "constraints/gcp.restrictServiceUsage",
      "checkedValue": "appengine.googleapis.com",
      "liveResult": "ALLOWED",
      "@type": "type.googleapis.com/google.cloud.audit.OrgPolicyDryRunAuditMetadata",
      "dryRunResult": "DENIED"
    }
  },
  "insertId": "1f2bvoxcmg1",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "project_id": "sur-project-test-3",
      "service": "appengine.googleapis.com",
      "method": "google.api.appengine.v1.appengine.apps.services.get"
    }
  },
  "timestamp": "2022-06-16T19:42:58.244990928Z",
  "severity": "WARNING",
  "logName": "projects/sur-project-test-3/logs/cloudaudit.googleapis.com%2Fpolicy",
  "receiveTimestamp": "2022-06-16T19:42:59.572025716Z"
}

Puoi utilizzare Esplora log per eseguire query solo sul criterio dell'organizzazione in caso di violazioni in modalità dry run.

Console

Nella console Google Cloud, puoi utilizzare Esplora log per recuperare le voci di audit log per il progetto, la cartella o l'organizzazione di Google Cloud:

  1. Nella console Google Cloud, vai alla pagina Logging> Esplora log.

    Vai a Esplora log

  2. Seleziona un progetto, una cartella o un'organizzazione Google Cloud esistente.

  3. Nel riquadro Query Builder, procedi nel seguente modo:

    • In Tipo di risorsa, seleziona la risorsa Google Cloud di cui vuoi visualizzare gli audit log.

    • In Nome log, seleziona il tipo di audit log policy.

    • Nel riquadro Query, inserisci quanto segue: protoPayload.metadata.dryRunResult = "DENIED" AND \ protoPayload.metadata.liveResult = "ALLOWED"

    Se riscontri problemi quando provi a visualizzare i log in Esplora log, consulta le informazioni sulla risoluzione dei problemi.

    Per ulteriori informazioni sull'esecuzione di query mediante Esplora log, consulta Creare query in Esplora log.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Logging. Fornisci un identificatore di risorsa valido in ciascuno dei nomi dei log. Ad esempio, se la query include un ID progetto, l'identificatore del progetto fornito deve fare riferimento al nome del progetto attualmente selezionato.

Per leggere le voci dell'audit log per le violazioni dei criteri dell'organizzazione in modalità dry run, esegui questo comando:

gcloud logging read protoPayload.metadata.dryRunResult = "DENIED" AND \
      protoPayload.metadata.liveResult = "ALLOWED" \
    --RESOURCE_TYPE=RESOURCE_ID \

Sostituisci quanto segue:

  • RESOURCE_TYPE con organization, folder o project.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

Aggiungi il flag --freshness al comando per leggere i log che risalgono a più di 1 giorno prima.

Per maggiori informazioni sull'utilizzo di gcloud CLI, consulta gcloud logging read.

Se la tua organizzazione comprende molti progetti, puoi utilizzare i sink aggregati per aggregare e instradare le voci degli audit log da tutti i progetti nell'organizzazione a una tabella BigQuery. Per ulteriori informazioni sulla creazione di sink aggregati, consulta Facoltare e indirizzare i log a livello di organizzazione verso le destinazioni supportate.

Passaggi successivi

Per saperne di più su come creare e gestire i vincoli dei criteri dell'organizzazione, consulta Utilizzo dei vincoli.