Questa pagina è stata tradotta dall'API Cloud Translation.

Aggiungi criteri dell'organizzazione personalizzati

MySQL | PostgreSQL | SQL Server

Questa pagina descrive come creare, configurare e gestire vincoli personalizzati su Cloud SQL di Compute Engine. Per una panoramica dei criteri dell'organizzazione personalizzati, vedi Criteri dell'organizzazione personalizzati.

Prima di iniziare

Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

Installa Google Cloud CLI.

Per initialize gcloud CLI, esegui questo comando:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

Installa Google Cloud CLI.

Per initialize gcloud CLI, esegui questo comando:

gcloud init

Aggiungere il ruolo Amministratore criteri organizzazione (roles/orgpolicy.policyAdmin) al tuo account utente o di servizio dal IAM e Console di amministrazione.
Vai alla pagina degli account IAM
Vedi le limitazioni prima di eseguire questa procedura.

Campi supportati per i vincoli personalizzati

Puoi impostare vincoli personalizzati nei seguenti campi:

Campo	Esempio di caso d'uso
SqlDatabaseVersion	Forza l'uso di versioni specifiche del database
region [regione]	Limita la creazione di istanze a regioni specifiche
availabilityType	Applica alta disponibilità
ipConfiguration > pscConfig > allowedConsumerProjects	Limita la lista consentita dei progetti consumer in PSC a progetti specifici
ipConfiguration > sslMode	Applica la modalità SSL a `ENCRYPTED_ONLY` o `TRUSTED_CLIENT_CERTIFICATE_REQUIRED`. Non puoi scegliere la modalità SSL durante la creazione di un'istanza Cloud SQL nella console Google Cloud. Quindi, se crei questo criterio dell'organizzazione personalizzato, devi creare un'istanza Cloud SQL utilizzando gcloud CLI, API o Terraform.
dataDiskType	Imponi l'uso di SSD o HDD
backupConfiguration > posizione	Limita le località di backup automatiche a località specifiche
backupConfiguration > pointInTimeRecoveryEnabled	Applica tutte le istanze per abilitare PITR
backupConfiguration > transactionLogRetentionDays	Obbliga tutte le istanze a utilizzare un periodo di conservazione specifico per la conservazione dei log delle transazioni
backupConfiguration > backupConservazioneSettings > retentionUnit	Applica i giorni di conservazione su tutti i backup
passwordValidationPolicy > minLength	Applica i criteri relativi alle password per una lunghezza minima
passwordValidationPolicy > complessità	Applica i criteri relativi alle password per una maggiore complessità
passwordValidationPolicy > reuseInterval	Applica i criteri relativi alle password per intervalli di riutilizzo specifici
passwordValidationPolicy > disallowUsernameSubstring	Applica i criteri relativi alle password per non consentire l'utilizzo del nome utente come password
Versione	Forza l'uso della versione Enterprise Plus per tutte le istanze
connectorEnforcement	Richiedi tutte le connessioni per utilizzare i connettori Cloud SQL
dataCacheConfig	Richiedi a tutte le istanze di utilizzare la cache dei dati

Crea e configura un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML utilizzando le risorse, i metodi le condizioni e le azioni supportate dal servizio per applicare il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati definiti utilizzando CEL (Common Expression Language). Per ulteriori informazioni su come creare nei vincoli personalizzati utilizzando CEL, vedi Common Expression Language.

Console

Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

Vai a Criteri dell'organizzazione
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per impostare il criterio dell'organizzazione.
Fai clic su Vincolo personalizzato.
Nella casella Nome visualizzato, inserisci un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.
Nella casella ID vincolo, inserisci il nome per il nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.requireCloudSqlPasswordMinLength. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom..
Nella casella Descrizione, inserisci una descrizione semplice per il del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri.
Nella casella Tipo di risorsa, seleziona il nome di Google Cloud Risorsa REST contenente l'oggetto e il campo da limitare, per ad esempio sqladmin.googleapis.com/Instance. È consentito un massimo di 20 e vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.
In Metodo di applicazione, scegli se applicare il vincolo su un metodo REST CREATE o entrambi i metodi CREATE e UPDATE.

Attenzione: se applichi il vincolo su un metodo UPDATE, Il vincolo viene valutato prima di tutte le operazioni UPDATE su Cloud SQL esistente di Compute Engine. Di conseguenza, le operazioni di UPDATE sulle istanze esistenti potrebbero non riuscire finché non risolverai la violazione del vincolo.

Modifica la condizione e segui questi passaggi:
1. Nel riquadro Aggiungi condizione, crea una condizione CEL che faccia riferimento a una di risorse di servizio supportate, resource.settings.passwordValidationPolicy.minLength > 10. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per ulteriori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.
2. Fai clic su Salva.
In Azione, scegli se consentire o negare il metodo valutato se la condizione precedente è soddisfatta.
- Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
- Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
Fai clic su Crea vincolo.

Dopo aver inserito un valore in ciascun campo, il codice YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.

gcloud

Per creare un file YAML per un vincolo personalizzato, utilizza il formato seguente:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- container.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.
CONSTRAINT_NAME: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.enableGkeAutopilot. La lunghezza massima di questo campo è 70 senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.
RESOURCE_NAME: il nome (non l'URI) dell'URI Risorsa REST dell'API GKE contenente l'oggetto e il campo vuoi limitare. Ad esempio, Cluster.
CONDITION: una condizione CEL scritta in base a di una risorsa di servizio supportata. Questo ha una lunghezza massima di 1000 caratteri.
ACTION: l'azione da eseguire se condition è sono soddisfatte determinate condizioni. Può essere ALLOW o DENY.
- Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
- Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
DISPLAY_NAME: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.
DESCRIPTION: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato un nuovo vincolo personalizzato utilizzando gcloud CLI, devi configurarlo per rendere disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio, /home/user/customconstraint.yaml. Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, vedi Visualizzazione dei criteri dell'organizzazione.

Applica un criterio dell'organizzazione personalizzato

Una volta configurato, un vincolo personalizzato funziona in modo identico boolean constraints. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se qualcuno dell'organizzazione personalizzata se la richiesta viene rifiutata, la richiesta viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. applicando il criterio dell'organizzazione a una risorsa Google Cloud.

Console

Per applicare un vincolo booleano:

Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Vai a Criteri dell'organizzazione
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
Seleziona il vincolo dall'elenco nella pagina Criteri dell'organizzazione. Dovrebbe essere visualizzata la pagina Dettagli criterio per il vincolo in questione.
Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
Fai clic su Aggiungi una regola.
In Applicazione, scegli se applicare questo criterio dell'organizzazione deve essere attivato o disattivato.
Se vuoi, per applicare le condizioni del criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per ulteriori informazioni i dettagli, vedi Impostazione di un criterio dell'organizzazione con i tag.
Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. Le norme potrebbero essere necessari fino a 15 minuti.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

PROJECT_ID: il progetto su cui vuoi applicare in modo forzato i tuoi di blocco.
CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Per ad esempio custom.enableGkeAutopilot.

Per applicare il criterio dell'organizzazione contenente il vincolo, esegui questo comando:

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del criterio dell'organizzazione YAML. L'applicazione del criterio richiederà fino a 15 minuti.

Aggiorna un vincolo personalizzato

Puoi aggiornare un vincolo personalizzato modificandolo nella nella console Google Cloud oppure creando un nuovo file YAML e utilizzando set-custom-constraint di nuovo il comando gcloud CLI. Non sono presenti il controllo delle versioni dei vincoli personalizzati, in modo da sovrascrivere lo stato personalizzato esistente di blocco. Se il vincolo personalizzato è già applicato, il valore il vincolo viene applicato immediatamente.

Console

Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Vai a Criteri dell'organizzazione
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per aggiornare il criterio dell'organizzazione.
Seleziona il vincolo che vuoi modificare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su Modifica vincolo.
Apporta modifiche a nome visualizzato, descrizione, metodo di applicazione condizione e azione. Non puoi modificare l'ID vincolo o la risorsa una volta creato il vincolo.
Fai clic su Salva modifiche.

gcloud

Per modificare un vincolo personalizzato esistente utilizzando gcloud CLI, crea un nuovo YAML contenente le modifiche da apportare:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.
CONSTRAINT_NAME: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom..
RESOURCE_NAME: il nome completo del Risorsa REST Google Cloud contenente l'oggetto e il campo da restrict. Ad esempio, container.googleapis.com/NodePool. Per ulteriori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.
METHOD1,METHOD2: un elenco di Metodi RESTful per cui applicare il vincolo. Può essere CREATE o CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.
CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate, "resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.
ACTION: l'azione da eseguire se condition è sono soddisfatte determinate condizioni. Può essere ALLOW o DENY.
DISPLAY_NAME: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.
DESCRIPTION: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, vedi Visualizzazione dei criteri dell'organizzazione.

Elimina un vincolo personalizzato

Puoi eliminare un vincolo personalizzato utilizzando la console Google Cloud o gcloud CLI.

Console

Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Vai a Criteri dell'organizzazione
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per eliminare il criterio dell'organizzazione.
Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su Elimina.
Per confermare di voler eliminare il vincolo, fai clic su Elimina.

gcloud

Per eliminare un vincolo personalizzato, utilizza org-policies delete-custom-constraint Comando gcloud CLI:

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

Sostituisci quanto segue:

ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.
CONSTRAINT_NAME: il nome della tua personalizzata di blocco. Ad esempio, custom.disableGkeAutoUpgrade.

L'output è simile al seguente:

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

Se elimini un vincolo personalizzato, tutti i criteri creati utilizzando il vincolo continua a esistere, ma viene ignorato. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.

Esempio: utilizza un vincolo personalizzato per imporre l'uso di SSD anziché HDD

Crea il file dataDiskType.yaml come segue:

name: organizations/651333429324/customConstraints/custom.dataDiskType
resourceTypes:
- sqladmin.googleapis.com/Instance
methodTypes:
- CREATE
- UPDATE
condition: resource.settings.dataDiskType == "PD_SSD"
actionType: ALLOW
displayName: dataDiskType must be PD_SDD
description: dataDiskType must be PD_SSD

Ciò garantisce che tutti i metodi CREATE e UPDATE su un'istanza soddisfino il vincolo di dataDiskType di SSD. Di conseguenza, tutte le istanze che coinvolgono HDD vengono rifiutate.

Configura il vincolo personalizzato a livello di organizzazione:
```
gcloud org-policies set-custom-constraint dataDiskType.yaml
```

Crea "enforceDataDiskType.yaml" come segue:

name: projects/custom-constraints-cloudsql3/policies/custom.dataDiskType
spec:
rules:
- enforce: true

Applica il vincolo personalizzato a livello di progetto:

gcloud org-policies set-policy enforceDataDiskType.yaml

Passaggi successivi

Scopri di più sui criteri dell'organizzazione.
Scopri come funziona l'IP privato con Cloud SQL.
Scopri come configurare l'IP privato per Cloud SQL.
Scopri di più sul servizio Criteri dell'organizzazione.
Scopri di più sui vincoli dei criteri dell'organizzazione.
Scopri di più su come creare e gestire i criteri dell'organizzazione personalizzati