Aggiungere criteri dell'organizzazione personalizzati

Questa pagina descrive come creare, configurare e gestire vincoli personalizzati sulle istanze Cloud SQL. Per una panoramica dei criteri dell'organizzazione personalizzati, consulta Criteri dell'organizzazione personalizzati.

Prima di iniziare

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  7. Make sure that billing is enabled for your Google Cloud project.

  8. Install the Google Cloud CLI.

  9. To initialize the gcloud CLI, run the following command: 

    gcloud init
  10. Aggiungi il ruolo Amministratore delle norme dell'organizzazione (roles/orgpolicy.policyAdmin) al tuo account utente o di servizio dalla pagina IAM e amministrazione.

    Vai alla pagina degli account IAM

  11. Consulta la sezione Restrizioni prima di eseguire questa procedura.

Campi supportati per le limitazioni personalizzate

Puoi impostare vincoli personalizzati nei seguenti campi:

Campo Esempio di caso d'uso
SqlDatabaseVersion Imporre l'utilizzo di versioni specifiche del database
region [regione] Limitare la creazione di istanze a regioni specifiche
availabilityType Applicare l'alta disponibilità
ipConfiguration > pscConfig > allowedConsumerProjects Limitare la lista consentita dei progetti consumer in PSC a progetti specifici
ipConfiguration > sslMode Imposta la modalità SSL su ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED. Non puoi scegliere la modalità SSL durante la creazione di un'istanza Cloud SQL nella console Google Cloud. Pertanto, se crei questo criterio dell'organizzazione personalizzato, devi creare un'istanza Cloud SQL utilizzando gcloud CLI, l'API o Terraform.
dataDiskType Impostare l'utilizzo di SSD o HDD
backupConfiguration > località Limitare le posizioni dei backup automatici a località specifiche
backupConfiguration > pointInTimeRecoveryEnabled Applica tutte le istanze per abilitare PITR
backupConfiguration > transactionLogRetentionDays Impostare per tutte le istanze l'utilizzo di un periodo di conservazione specifico per la conservazione dei log delle transazioni
backupConfiguration > backupRetentionSettings > retentionUnit Applicare i giorni di conservazione a tutti i backup
passwordValidationPolicy > minLength Applica il criterio per le password per una lunghezza minima
passwordValidationPolicy > complexity Applica il criterio relativo alla complessità delle password
passwordValidationPolicy > reuseInterval Applica i criteri relativi alle password per intervalli di riutilizzo specifici
passwordValidationPolicy > disallowUsernameSubstring Applica i criteri relativi alle password per non consentire l'utilizzo del nome utente come password
Versione Impostare tutte le istanze in modo che utilizzino la versione Enterprise Plus
connectorEnforcement Richiedi che tutte le connessioni utilizzino i connettori Cloud SQL
dataCacheConfig Richiedi a tutte le istanze di utilizzare la cache di dati

Creare e configurare un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML utilizzando le risorse, i metodi, le condizioni e le azioni supportate dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando Common Expression Language (CEL). Per ulteriori informazioni su come creare nei vincoli personalizzati utilizzando CEL, vedi Common Expression Language.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore del progetto nella parte superiore della pagina.

  3. Dal selettore di progetti, seleziona la risorsa per cui vuoi impostare il criterio dell'organizzazione.

  4. Fai clic su Vincolo personalizzato.

  5. Nella casella Nome visualizzato, inserisci un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  6. Nella casella ID vincolo, inserisci il nome per il nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.requireCloudSqlPasswordMinLength. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom..

  7. Nella casella Descrizione, inserisci una descrizione semplice per il del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri.

  8. Nella casella Tipo di risorsa, seleziona il nome di Google Cloud Risorsa REST contenente l'oggetto e il campo da limitare, per ad esempio sqladmin.googleapis.com/Instance. È consentito un massimo di 20 e vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.

  9. In Metodo di applicazione, scegli se applicare il vincolo su un metodo REST CREATE o entrambi i metodi CREATE e UPDATE.

    Modifica la condizione e segui questi passaggi:

    1. Nel riquadro Aggiungi condizione, crea una condizione CEL che fa riferimento a una risorsa di servizio supportata, ad esempioresource.settings.passwordValidationPolicy.minLength > 10. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per maggiori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.

    2. Fai clic su Salva.

  10. In Azione, seleziona se consentire o negare il metodo valutato se viene soddisfatta la condizione precedente.

    • Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.

    • Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, sono bloccati.

  11. Fai clic su Crea vincolo.

Dopo aver inserito un valore in ogni campo, a destra viene visualizzata la configurazione YAML equivalente per questo vincolo personalizzato.

gcloud

Per creare un file YAML per una limitazione personalizzata, utilizza il seguente formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- container.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.enableGkeAutopilot. La lunghezza massima di questo campo è 70 senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.

  • RESOURCE_NAME: il nome (non l'URI) della risorsa REST dell'API GKE contenente l'oggetto e il campo che vuoi limitare. Ad esempio, Cluster.

  • CONDITION: una condizione CEL scritta in base a di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri.

  • ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. Può essere ALLOW o DENY.

    • Deny blocca le operazioni di creazione o aggiornamento della risorsa se la condizione restituisce true.

    • Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, sono bloccati.

  • DISPLAY_NAME: un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sostituisci CONSTRAINT_PATH con il percorso completo del file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati sono disponibili come criteri dell'organizzazione nell'elenco dei criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

Applica un criterio dell'organizzazione personalizzato

Una volta configurato, un vincolo personalizzato funziona in modo identico ai vincoli booleani predefinite. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se uno dei criteri dell'organizzazione personalizzata nega la richiesta, questa viene rifiutata. Google Cloud controlla quindi la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicare il criterio dell'organizzazione a una risorsa Google Cloud.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare il criterio dell'organizzazione.
  3. Nell'elenco della pagina Criteri dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli dei criteri relativa al vincolo in questione.
  4. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
  5. Nella pagina Modifica criterio, seleziona Ignora criterio della risorsa padre.
  6. Fai clic su Aggiungi una regola.
  7. Nella sezione Applicazione, scegli se applicare questo criterio dell'organizzazione sia attivato o disattivato.
  8. (Facoltativo) Per rendere il criterio dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per maggiori informazioni le informazioni, vedi Impostazione di un criterio dell'organizzazione con i tag.
  9. Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
  10. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un file YAML del criterio che faccia riferimento al vincolo: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

  • PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
  • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio, custom.enableGkeAutopilot.

Per applicare il criterio dell'organizzazione contenente il vincolo, esegui questo comando: 

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del file YAML del criterio dell'organizzazione. L'applicazione del criterio richiede fino a 15 minuti.

Aggiornare un vincolo personalizzato

Puoi aggiornare una limitazione personalizzata modificandola nella console Google Cloud o creando un nuovo file YAML e utilizzando di nuovo il comando set-custom-constraint gcloud CLI. Non sono presenti il controllo delle versioni dei vincoli personalizzati, in modo da sovrascrivere le versioni personalizzate di blocco. Se il vincolo personalizzato è già applicato, il valore il vincolo viene applicato immediatamente.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per aggiornare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi modificare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.

  5. Fai clic su Modifica vincolo.

  6. Apporta modifiche al nome visualizzato, alla descrizione, al metodo di applicazione, alla condizione e all'azione. Non puoi modificare l'ID vincolo o la risorsa una volta creato il vincolo.

  7. Fai clic su Salva modifiche.

gcloud

Per modificare un vincolo personalizzato esistente utilizzando l'interfaccia a riga di comando gcloud, crea un nuovo file YAML contenente le modifiche che vuoi apportare:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom..

  • RESOURCE_NAME: il nome completamente qualificato della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio, container.googleapis.com/NodePool. Per ulteriori informazioni sulle risorse di servizio che puoi utilizzare nei vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.

  • METHOD1,METHOD2: un elenco di metodi RESTful per i quali applicare la limitazione. Può essere CREATE o CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.

  • CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate, "resource.management.autoUpgrade == false". Questo campo ha una lunghezza massima di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.

  • ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. Può essere ALLOW o DENY.

  • DISPLAY_NAME: un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per disponibile per i criteri dell'organizzazione nella tua organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 

gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati saranno disponibili come criteri dell'organizzazione nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che la limitazione personalizzata esista, utilizza il comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

Elimina un vincolo personalizzato

Puoi eliminare una limitazione personalizzata utilizzando la console Google Cloud o gcloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore del progetto nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per eliminare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.

  5. Fai clic su Elimina.

  6. Per confermare di voler eliminare il vincolo, fai clic su Elimina.

gcloud

Per eliminare un vincolo personalizzato, utilizza org-policies delete-custom-constraint Comando gcloud CLI:

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome della tua personalizzata di blocco. Ad esempio, custom.disableGkeAutoUpgrade.

L'output è simile al seguente:

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

Se elimini un vincolo personalizzato, i criteri creati utilizzando quel vincolo continuano a esistere, ma vengono ignorati. Non puoi creare un altro vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.

Esempio: utilizza un vincolo personalizzato per imporre l'utilizzo di SSD anziché HDD

  1. Crea il file dataDiskType.yaml come segue:

    name: organizations/651333429324/customConstraints/custom.dataDiskType
resourceTypes:
- sqladmin.googleapis.com/Instance
methodTypes:
- CREATE
- UPDATE
condition: resource.settings.dataDiskType == "PD_SSD"
actionType: ALLOW
displayName: dataDiskType must be PD_SDD
description: dataDiskType must be PD_SSD

    Ciò garantisce che tutti i metodi CREATE e UPDATE su un'istanza soddisfino il vincolo di dataDiskType di SSD. Di conseguenza, tutte le istanze che coinvolgono HDD vengono rifiutate.

  2. Configura il vincolo personalizzato a livello di organizzazione:

    gcloud org-policies set-custom-constraint dataDiskType.yaml

  3. Crea "enforceDataDiskType.yaml" come segue:

    name: projects/custom-constraints-cloudsql3/policies/custom.dataDiskType
spec:
rules:
- enforce: true

  4. Applica il vincolo personalizzato a livello di progetto:

    gcloud org-policies set-policy enforceDataDiskType.yaml

Passaggi successivi