本页面介绍了如何使用组织政策服务自定义限制条件来限制对以下 Google Cloud 资源执行的特定操作:
securityposture.googleapis.com/Posture
securityposture.googleapis.com/PostureDeployment
如需详细了解组织政策,请参阅自定义组织政策。
组织政策和限制条件简介
借助 Google Cloud 组织政策服务,您可以对组织的资源进行程序化集中控制。作为组织政策管理员,您可以定义组织政策,这是一组称为限制条件的限制,会应用于 Google Cloud 资源层次结构中的Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。
组织政策为各种 Google Cloud 服务提供预定义限制条件。但是,如果您想要更精细地控制和自定义组织政策中受限的特定字段,还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。
政策继承
如果您对资源强制执行政策,默认情况下,该资源的后代会继承组织政策。例如,如果您对某个文件夹强制执行一项政策, Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式,请参阅层次结构评估规则。
优势
您可以将自定义组织政策与安全状况搭配使用,以执行以下操作:
- 允许使用特定状态创建姿势
- 允许使用特定类型的政策创建状态
- 允许将安全状况部署到特定目标资源
- 允许针对特定状态部署状态
准备工作
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
所需的角色
如需获得管理自定义组织政策所需的权限,请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin
) IAM 角色。
如需详细了解如何授予角色,请参阅管理对项目、文件夹和组织的访问权限。
创建自定义限制条件
自定义限制条件是在 YAML 文件中,由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件,请参阅创建和管理自定义限制条件的 CEL 部分。
如需创建自定义限制条件,请使用以下格式创建 YAML 文件:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
替换以下内容:
ORGANIZATION_ID
:您的组织 ID,例如123456789
。CONSTRAINT_NAME
:新的自定义限制条件的名称。 自定义限制条件必须以custom.
开头,只能包含大写字母、小写字母或数字。例如custom.LbTrafficExtensionDenyBodyEvents
。该字段的最大长度为 70 个字符。RESOURCE_NAME
:包含要限制的对象和字段的Google Cloud 资源的完全限定名称。例如networkservices.googleapis.com/LbTrafficExtension
。CONDITION
:针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。 如需详细了解可用于针对其编写条件的资源,请参阅支持的资源。 例如"resource.extensionChains.all(value, value.extensions.all(value, value.supportedEvents.all(value, value.contains("BODY"))))"
。ACTION
:满足condition
时要执行的操作。 可能的值包括ALLOW
和DENY
。DISPLAY_NAME
:限制条件的直观易记名称。 此字段的最大长度为 200 个字符。DESCRIPTION
:直观易懂的限制条件说明,在违反政策时显示为错误消息。 此字段的长度上限为 2,000 个字符。
如需详细了解如何创建自定义限制条件,请参阅定义自定义限制条件。
设置自定义限制条件
为新的自定义限制条件创建 YAML 文件后,您必须对其进行设置,以使其可用于组织中的组织政策。如需设置自定义限制条件,请使用gcloud org-policies set-custom-constraint
命令:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
替换为自定义限制条件文件的完整路径。例如 /home/user/customconstraint.yaml
。完成后,您的自定义限制条件会成为 Google Cloud 组织政策列表中的组织政策。如需验证自定义限制条件是否存在,请使用 gcloud org-policies list-custom-constraints
命令:gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
替换为您的组织资源的 ID。
如需了解详情,请参阅查看组织政策。
强制执行自定义组织政策
如需强制执行布尔值限制条件,您可以创建引用该限制条件的组织政策,并将该组织政策应用于 Google Cloud 资源。控制台
- 在 Google Cloud 控制台中,转到组织政策页面。
- 在项目选择器中,选择要设置组织政策的项目。
- 从组织政策页面上的列表中选择您的限制条件,以查看该限制条件的政策详情页面。
- 如需为该资源配置组织政策,请点击管理政策。
- 在修改政策页面,选择覆盖父级政策。
- 点击添加规则。
- 在强制执行部分中,选择开启还是关闭此组织政策的强制执行。
- (可选)如需使组织政策成为基于某个标记的条件性政策,请点击添加条件。请注意,如果您向组织政策添加条件规则,则必须至少添加一个无条件规则,否则无法保存政策。如需了解详情,请参阅设置带有标记的组织政策。
- 如果是自定义限制条件,您可以点击测试更改来模拟此组织政策的效果。如需了解详情,请参阅使用 Policy Simulator 测试组织政策更改。
- 若要完成并应用组织政策,请点击设置政策。该政策最长需要 15 分钟才能生效。
gcloud
如需创建强制执行布尔值限制条件的组织政策,请创建引用该限制条件的 YAML 政策文件:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
请替换以下内容:
-
PROJECT_ID
:要对其实施限制条件的项目。 -
CONSTRAINT_NAME
:您为自定义限制条件定义的名称。例如,custom.LbTrafficExtensionDenyBodyEvents
。
如需强制执行包含限制条件的组织政策,请运行以下命令:
gcloud org-policies set-policy POLICY_PATH
将 POLICY_PATH
替换为组织政策 YAML 文件的完整路径。该政策最长需要 15 分钟才能生效。
测试自定义组织政策
以下示例创建了一个自定义约束条件,用于阻止创建状态为 DRAFT 的安全状况。
创建限制条件
如需定义约束条件,请创建一个名为
constraint-active-postures.yaml
的文件,其中包含以下内容:name: organizations/ORGANIZATION_ID/customConstraints/custom.createActivePosturesOnly resourceTypes: - securityposture.googleapis.com/Posture methodTypes: - CREATE - UPDATE condition: resource.state.contains('ACTIVE') actionType: ALLOW displayName: Create only ACTIVE postures. description: Create only ACTIVE postures.
将 ORGANIZATION_ID 替换为您的组织 ID。
应用限制条件:
gcloud org-policies set-custom-constraint ~/constraint-active-postures.yaml
验证限制条件存在:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
输出类似于以下内容:
CUSTOM_CONSTRAINT ACTION_TYPE METHOD_TYPES RESOURCE_TYPES DISPLAY_NAME custom.Posture ALLOW CREATE,UPDATE securityposture.googleapis.com/Posture Create only ACTIVE postures.
创建政策
创建一个名为
policy-active-postures.yaml
的文件,并在其中添加以下政策:name: projects/PROJECT_ID/policies/custom.createActivePosturesOnly spec: rules: - enforce: true
将
PROJECT_ID
替换为您的项目 ID。应用政策:
gcloud org-policies set-policy ~/policy-active-postures.yaml
验证政策存在:
gcloud org-policies list --project=PROJECT_ID
输出类似于以下内容:
CONSTRAINT LIST_POLICY BOOLEAN_POLICY ETAG custom.createActivePosturesOnly - SET COCsm5QGENiXi2E=
应用政策后,请等待大约两分钟,以便安全状况开始强制执行政策。
测试政策
通过创建状态为 DRAFT 的安全状况来测试该政策:
gcloud scc postures create POSTURE_NAME \
--posture-from-file=PATH_TO_POSTURE_YAML_FILE
替换以下内容:
POSTURE_NAME
:安全状况的唯一名称PATH_TO_POSTURE_YAML_FILE
:姿势文件的路径
输出类似于以下内容:
ERROR: (google.cloud.securityposture.v1.SecurityPosture.CreatePosture)
FAILED_PRECONDITION: Operation denied by org policy on resource
'organizations/996122346870/locations/global':
["customConstraints/custom.createActivePosturesOnly":
"Create only ACTIVE postures."].
常见用例的自定义组织政策示例
下表列出了一些常见用例的自定义限制条件的语法:
说明 | 限制条件语法 |
---|---|
要求所有安全状况均处于 ACTIVE 状态 | name: organizations/ORGANIZATION_ID/customConstraints/custom.createActivePosturesOnly resourceTypes: - securityposture.googleapis.com/Posture methodTypes: - CREATE - UPDATE condition: "resource.state.contains('ACTIVE')" actionType: ALLOW displayName: Require all security posture to have ACTIVE state description: All security posture must have ACTIVE state |
Security Command Center 支持的资源
下表列出了您可以在自定义限制条件中引用的 Security Command Center 资源。资源 | 字段 |
---|---|
securityposture.googleapis.com/Posture |
resource.annotations
|
resource.description
| |
resource.name
| |
resource.policySets.description
| |
resource.policySets.policies.complianceStandards.control
| |
resource.policySets.policies.complianceStandards.standard
| |
resource.policySets.policies.constraint.orgPolicyConstraint.cannedConstraintId
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.allowAll
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.denyAll
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.enforce
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.parameters.fields
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.resourceTypes.included
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.values.allowedValues
| |
resource.policySets.policies.constraint.orgPolicyConstraint.policyRules.values.deniedValues
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.actionType
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.condition
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.description
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.displayName
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.methodTypes
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.name
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.customConstraint.resourceTypes
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.allowAll
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.denyAll
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.enforce
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.parameters.fields
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.resourceTypes.included
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.values.allowedValues
| |
resource.policySets.policies.constraint.orgPolicyConstraintCustom.policyRules.values.deniedValues
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.config.customOutput.properties.name
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.config.description
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.config.recommendation
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.config.resourceSelector.resourceTypes
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.config.severity
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.displayName
| |
resource.policySets.policies.constraint.securityHealthAnalyticsCustomModule.moduleEnablementState
| |
resource.policySets.policies.constraint.securityHealthAnalyticsModule.moduleEnablementState
| |
resource.policySets.policies.constraint.securityHealthAnalyticsModule.moduleName
| |
resource.policySets.policies.description
| |
resource.policySets.policies.policyId
| |
resource.policySets.policySetId
| |
resource.state
| |
securityposture.googleapis.com/PostureDeployment |
resource.annotations
|
resource.description
| |
resource.name
| |
resource.postureId
| |
resource.postureRevisionId
| |
resource.targetResource
|