Esta página foi traduzida pela API Cloud Translation.

Como definir uma Política da Organização com tags

As tags fornecem uma maneira de permitir ou negar políticas condicionalmente se um recurso tiver uma tag específica. Você pode usar tags e aplicação condicional de políticas da organização para fornecer controle centralizado dos recursos em sua hierarquia.

Antes de começar

Para mais informações sobre o que são tags e como elas funcionam, consulte a Visão geral das tags.

Para ver instruções detalhadas sobre como usar tags, consulte Como criar e gerenciar tags.

Como definir uma Política da Organização com tags

Para usar tags para determinar onde uma política da organização precisa entrar em vigor, especifique uma condição no arquivo YAML da política da organização. É possível definir a condição para corresponder a um determinado par de chave-valor de tag, exigindo que um determinado valor de tag seja definido para que a política da organização seja aplicada.

A maioria das políticas da organização é avaliada e aplicada criados ou atualizados. Não é possível anexar uma tag a um recurso antes então as políticas condicionais da organização não podem avaliar tags em uma recurso à medida que ele é criado, somente em tags que são herdadas do pai do Google Cloud.

As tags são avaliadas de acordo com os recursos da organização, da pasta e do projeto. Mais frequentes os recursos abaixo dos projetos na hierarquia de recursos não são avaliados política da organização, com algumas exceções, como o Cloud Run serviços. Para informações sobre restrições específicas de políticas da organização, consulte Restrições da política da organização.

Exemplo de política de lista

No exemplo a seguir, demonstramos como definir um arquivo de política da organização que aplica a restrição gcp.resourceLocations. Essa política da organização usa valores condicionais e não condicionais, definidos no mesmo arquivo de política.

Console

Para definir a política da organização usando , faça o seguinte:

No console do Google Cloud, acesse a página Políticas da organização.

Acessar as políticas da organização
No seletor de projeto, escolha o projeto para o qual você quer definir o política da organização.
Na página Políticas da organização, selecione uma restrição na lista. A página Detalhes da política dessa restrição é exibida.
Para atualizar a política da organização para este recurso, clique em Gerenciar política.
Na página Editar política, selecione Substituir a política do editor principal.
Em Política de aplicação, selecione uma opção para aplicação:
- Para mesclar e avaliar as políticas da organização juntas, selecione Mesclar com pai. Para saber mais informações sobre herança e hierarquia de recursos, consulte Noções básicas sobre avaliação de hierarquia.
- Para modificar políticas herdadas de um recurso pai, selecione Substituir.
Clique em Adicionar regra.
Em Valores da política, selecione se esta política da organização precisa permitir ou negar valores ou especificar um conjunto personalizado de valores.
- Os valores específicos aceitos pela política dependem do serviço a que a política se aplica. Para ver uma lista de restrições e os valores aceitos, consulte Restrições da política da organização.
Para tornar a política da organização condicional em uma tag, clique em Adicionar condição.
1. No campo Título, insira um nome para a condição.
2. No campo Descrição, defina uma descrição para a condição. A descrição oferece contexto sobre as tags necessárias e como elas afetam os recursos.
3. Você pode usar o Criador de condições para criar uma condição que exija uma tag específica para que a restrição entre em vigor.
  1. Na caixa Tipo de condição, selecione Tag.
  2. Selecione o Operador para sua condição. Para corresponder a uma tag inteira, use o operador matches. Para combinar uma chave de tag e um valor de tag, use o operador match ID.
  3. Se você selecionou o operador corresponde, insira o nome do namespace de valor da tag. Se você selecionou o operador corresponde ao código, insira os códigos da chave e do valor.
  4. Para criar várias condições, clique em Adicionar. Se você adicionar outra condição, poderá definir a lógica condicional para exigir todas elas alternando E. É possível configurar a lógica condicional para exigir que apenas uma das condições seja verdadeira, alternando Or.
  5. É possível excluir uma expressão clicando no X grande à direita dos campos de condição.
  6. Quando terminar de editar as condições, clique em Salvar.
  Na figura a seguir, mostramos um exemplo de configuração de uma política da organização que inclui condições.
4. O Editor de condições pode ser usado para criar uma expressão condicional de maneira programática. Também será exibida uma renderização programática do conjunto atual de condições.
  1. É possível usar o Editor de condições para aplicar o operador lógico !. Por exemplo, a consulta !resource.matchTag('ORGANIZATION_ID/location', 'us-west1') aplicará a restrição da política da organização a qualquer recurso que não tenha a tag us-west1.
  Aviso: se você criar uma consulta que inclua o operador lógico ! no Editor de condições. , o Criador de condições exibe uma mensagem de erro e não consegue renderizar a consulta. A consulta funcionará, mas você precisará usar o Editor de condições para fazer outras alterações na consulta.
Para aplicar a política, clique em Definir política.

gcloud

Para definir a política da organização, crie um arquivo YAML para armazenar a organização política:

name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.resourceLocations
spec:
  rules:
  # As there is no condition specified, this allowedValue is enforced unconditionally.
  - values:
      allowedValues:
      - us-east1-locations
  # This condition applies to the values block.
  - condition:
      expression: "resource.matchTag('ORGANIZATION_ID/location', 'us-west1')"
    values:
      allowedValues:
      - us-west1-locations

Execute o comando set-policy:

gcloud org-policies set-policy POLICY_PATH

Substitua:

POLICY_PATH: o caminho completo para sua organização arquivo YAML de política
RESOURCE_TYPE: organizations, folders ou projects
RESOURCE_ID: ID da organização, ID da pasta, ID ou número do projeto, dependendo do tipo de recurso especificado em RESOURCE_TYPE
ORGANIZATION_ID: a organização mãe da chave de tag

Para esta política da organização, o recurso e todos os recursos filhos dele terão a restrição gcp.resourceLocations aplicada, com Somente allowedValues de us-east1-locations. Qualquer um desses recursos com a tag location: us-west1 terá a restrição gcp.resourceLocations aplicada a ela, com allowedValues de us-east1-locations e us-west1-locations.

Dessa forma, conjuntos de valores condicionais e não condicionais podem ser aplicados a uma restrição em uma única Política da Organização.

Exemplo de política booleana

No exemplo a seguir, demonstramos como definir um arquivo de política da organização que aplica a restrição compute.disableSerialPortAccess. Essa política da organização especifica que todas as portas seriais podem ser acessadas pelos recursos, mas usa uma condição para restringir apenas o acesso à porta serial para recursos que tenham a tag correspondente.

Console

Para definir a política da organização usando , faça o seguinte:

No console do Google Cloud, acesse a página Políticas da organização.

Acessar as políticas da organização
No seletor de projeto, escolha o projeto para o qual você quer para definir a política da organização.
Selecione uma restrição na lista da página Políticas da organização. A página Detalhes da política dessa restrição será exibida.
Para atualizar a política da organização para este recurso, clique em Gerenciar política.
Na página Editar política, selecione Substituir a política do editor principal.
Clique em Adicionar regra.
Em Aplicação, selecione se a aplicação dessa política da organização precisa ser ativada ou desativada.
Para tornar a política da organização condicional em uma tag, clique em Adicionar condição. Se você adicionar uma regra condicional a uma política da organização, adicione apenas uma regra incondicional ou a Não é possível salvar a política.
1. No campo Título, insira um nome para a condição.
2. No campo Descrição, defina uma descrição para a condição. A descrição oferece contexto sobre as tags necessárias e como elas afetam os recursos.
3. Você pode usar o Criador de condições para criar uma condição que exija uma tag específica para que a restrição entre em vigor.
  1. Na caixa Tipo de condição, selecione Tag.
  2. Selecione o Operador para sua condição. Para corresponder a uma tag inteira, use o operador matches. Para combinar uma chave de tag e um valor de tag, use o operador match ID.
  3. Se você selecionou o operador corresponde, insira o nome do namespace de valor da tag. Se você selecionou o operador corresponde ao código, insira os códigos da chave e do valor.
  4. Para criar várias condições, clique em Adicionar. Se você adicionar outra condição, poderá definir a lógica condicional para exigir todas elas alternando E. É possível configurar a lógica condicional para exigir que apenas uma das condições seja verdadeira, alternando Or.
  5. É possível excluir uma expressão clicando no X grande à direita dos campos de condição.
  6. Quando terminar de editar as condições, clique em Salvar.
  7. Uma política da organização com uma condição aplicada precisa ter apenas uma regra incondicional. Clique em Adicionar regra e defina se a aplicação dessa política da organização deve ser ativada ou desativada por padrão.
  Na figura a seguir, mostramos um exemplo de configuração de uma política da organização que inclui condições.
4. O Editor de condições pode ser usado para criar uma expressão condicional de maneira programática. Também será exibida uma renderização programática do conjunto atual de condições.
  1. É possível usar o Editor de condições para aplicar o operador lógico !. Por exemplo, a consulta !resource.matchTag('ORGANIZATION_ID/location', 'us-west1') aplicará a restrição da política da organização a qualquer recurso que não tenha a tag us-west1.
  Aviso: se você criar uma consulta que inclua o operador lógico ! no Editor de condições. , o Criador de condições exibe uma mensagem de erro e não consegue renderizar a consulta. A consulta funcionará, mas você precisará usar o Editor de condições para fazer outras alterações na consulta.
Para finalizar e aplicar a política da organização, clique em Salvar.

gcloud

Para definir a política da organização, crie um arquivo YAML para armazenar a organização política:

name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.disableSerialPortAccess
spec:
  rules:
  - condition:
      expression: "resource.matchTag(\"ORGANIZATION_ID/disableSerialAccess\", \"yes\")"
    enforce: true
  - enforce: false

Execute o comando set-policy:

gcloud org-policies set-policy POLICY_PATH

Substitua:

POLICY_PATH: o caminho completo para sua organização arquivo YAML de política
RESOURCE_TYPE: organizations, folders ou projects
RESOURCE_ID: ID da organização, ID da pasta, ID ou número do projeto
ORGANIZATION_ID: a organização mãe da chave de tag

Para esta política da organização, o recurso e todos os respectivos recursos filhos terão a restrição gcp.disableSerialPortAccess aplicada. Todos os recursos com a tag disableSerialAccess: yes serão negados pela política da organização. Os recursos que não tiverem a tag disableSerialAccess: yes não terão a restrição aplicada.

Adicionar restrições condicionalmente à política da organização

Você pode usar tags para adicionar restrições de política da organização condicionalmente a recursos com base nas tags anexadas. É possível adicionar várias condições na mesma política da organização, o que oferece um controle refinado dos recursos a que você quer aplicar a política da organização.

Common Expression Language, ou CEL, é a linguagem de expressão usada para especificar expressões condicionais. Uma expressão condicional consiste em uma ou mais instruções unidas por operadores lógicos (&&, || ou !). Para saber mais, consulte a especificação da CEL e a respectiva definição de linguagem.

Considere uma política da organização para restringir os locais em que os recursos podem ser criados com base nas tags aplicadas a eles. Para fazer isso, crie uma política da organização que aplique a restrição gcp.resourceLocations e use condições para restringir a aplicação apenas a determinados recursos.

Comece criando um arquivo temporário, /tmp/policy.yaml, para conter a política da organização:

name: organizations/ORGANIZATION_ID/policies/gcp.resourceLocations
spec:
  rules:
  - condition:
      expression: "resource.matchTag('ORGANIZATION_ID/location', 'us-east')"
    values:
      allowedValues:
      - in:us-east1-locations
  - condition:
      expression: "resource.matchTag('ORGANIZATION_ID/location', 'us-west')"
    values:
      allowedValues:
      - in:us-west1-locations
  - values:
      deniedValues:
      - in:asia-south1-locations

Substitua ORGANIZATION_ID pela organização pai de a chave de tag.

Neste exemplo, qualquer recurso que tenha a tag location: us-east anexada vai ser restrito a locais no grupo de valores us-east1-locations. Qualquer recurso que tenha a tag location: us-west anexada será restrito a locais dentro do grupo de valores us-west1-locations. Todos os recursos da organização serão bloqueados nos locais dentro do grupo de valores asia-south1-locations.

Em seguida, defina a política usando o comando set-policy:

gcloud org-policies set-policy /tmp/policy.yaml

Como restringir recursos sem tag

É possível usar tags e políticas condicionais da organização para restringir quaisquer recursos que não usam determinada tag. Se você definir uma política da organização um recurso que restringe serviços e o torna condicional com a presença de um , nenhum recurso filho descendente desse recurso pode ser usado, foram marcados. Dessa forma, os recursos devem ser configurados de acordo com seu um plano de governança para que eles possam ser usados.

Para restringir recursos de projetos, pastas ou organizações sem tag, use o Operador lógico ! em uma consulta condicional ao criar sua organização política.

Por exemplo, para permitir o uso de sqladmin.googleapis.com apenas em projetos. que tenham a tag sqladmin=enabled, crie uma política da organização que nega sqladmin.googleapis.com em projetos que não têm a tag sqladmin=enabled.

Criar uma tag que identifica se os recursos tiveram a governança adequada aplicada. Por exemplo, é possível criar uma tag com a chave sqlAdmin e a enabled, para designar que este recurso deve permitir o uso de a API Cloud SQL Admin. Exemplo:
Clique no nome da tag recém-criada. Você precisa do nome com namespace listada em Caminho da chave da tag, nas próximas etapas para criar uma condição.
Criar uma política da organização Restringir o uso do serviço de recursos no nível do recurso da sua organização para negar acesso à API Cloud SQL Admin. Exemplo:
Adicione uma condição à política da organização acima, especificando que a política é aplicado se a tag de governança não estiver presente. O operador lógico NOT não é compatível com o criador de condições. Portanto, essa condição deve ser criada no editor de condições. Exemplo:

!resource.matchTag("012345678901/sqlAdmin", "enabled")

Agora, a tag sqlAdmin=enabled precisa ser anexada ou herdada por um projeto. antes que os desenvolvedores possam usar a API Cloud SQL Admin com esse projeto.

Herança da Política da Organização

As restrições da lista da Política da Organização ativadas usando tags irão se mesclar com a Política da Organização, de acordo com as regras normais da de herança. Essas regras condicionais serão aplicadas apenas se a condição for verdadeira.

As restrições booleanas da Política da Organização ativadas usando tags substituirão a Política da Organização. Além disso, como as políticas booleanas podem ter apenas dois estados, verdadeiro ou falso, todas as instruções condicionais precisam ser o oposto da declaração sem condição, impedindo que várias tags entrem em conflito.

Por exemplo, considere uma Política da Organização que imponha a restrição disableSerialPortAccess. O valor incondicional, usado se nenhuma condição o substituir, é verdadeiro. Portanto, qualquer outra declaração condicional dessa política precisa ser configurada como falsa para não entrar em conflito.

A seguir

Para obter mais informações sobre como usar tags, leia a página Criando e gerenciando tags.

Para mais informações sobre como criar e gerenciar restrições da política da organização, consulte Como usar restrições.